Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Epic Telehealth en Pexip Infinity (CVE-2022-27935)

Fecha de publicación:

17/07/2022

Idioma:

Español

Pexip Infinity versiones anteriores a 27.3, permite a atacantes remotos desencadenar una interrupción del software por medio de Epic Telehealth

Gravedad CVSS v3.1: ALTA

Última modificación:

08/08/2023

Vulnerabilidad en H.323 en Pexip Infinity (CVE-2022-27936)

Fecha de publicación:

17/07/2022

Idioma:

Español

Pexip Infinity antes de 27.3 permite a atacantes remotos desencadenar una interrupción del software por medio de H.323

Gravedad CVSS v3.1: ALTA

Última modificación:

08/08/2023

Vulnerabilidad en HTTP en Pexip Infinity (CVE-2022-26654)

Fecha de publicación:

17/07/2022

Idioma:

Español

Pexip Infinity versiones anteriores a 27.3, permite a atacantes remotos forzar una interrupción del software por medio de HTTP

Gravedad CVSS v3.1: ALTA

Última modificación:

08/08/2023

Vulnerabilidad en H.264 en Pexip Infinity (CVE-2022-27937)

Fecha de publicación:

17/07/2022

Idioma:

Español

Pexip Infinity versiones anteriores a 27.3, permite a atacantes remotos provocar un consumo excesivo de recursos por medio de H.264

Gravedad CVSS v3.1: ALTA

Última modificación:

21/07/2022

Vulnerabilidad en Pexip Infinity (CVE-2022-25357)

Fecha de publicación:

17/07/2022

Idioma:

Español

Pexip Infinity versiones 27.x anteriores a 27.2, presenta un control de acceso inapropiado. Un atacante puede en ocasiones unirse a una conferencia (call join) si presenta un bloqueo pero no un PIN

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/08/2023

Vulnerabilidad en el código JS dentro del archivo Login.js es en el sistema (CVE-2022-30622)

Fecha de publicación:

17/07/2022

Idioma:

Español

Una revelación de información: el sistema permite visualizar los nombres de usuario y las contraseñas sin permisos, por lo que será posible entrar en el sistema. Acceso a la ruta: http://api/sys_username_passwd.cmd - El servidor carga la petición de forma clara por defecto. La divulgación de la información de crédito embebida en el código JS que es enviado al cliente dentro del archivo Login.js es un usuario fuerte (que no está documentado) y también la contraseña, que permiten el acceso de super usuario. Nombre de usuario: chcadmin, Contraseña: chcpassword

Gravedad CVSS v3.1: ALTA

Última modificación:

28/07/2022

Vulnerabilidad en un valor k no NULL en el archivo csv_export_results_metadata.php en Montala ResourceSpace (CVE-2022-31260)

Fecha de publicación:

17/07/2022

Idioma:

Español

En Montala ResourceSpace versiones hasta 9.8 anteriores a r19636, el archivo csv_export_results_metadata.php permite a atacantes exportar los metadatos de la colección por medio de un valor k no NULL

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/02/2024

Vulnerabilidad en el componente auth en Dovecot (CVE-2022-30550)

Fecha de publicación:

17/07/2022

Idioma:

Español

Se ha detectado un problema en el componente auth en Dovecot versiones 2.2 y 2.3 anteriores a 2.3.20. Cuando se presentan dos entradas de configuración de passdb con los mismos ajustes de driver y args, pueden aplicarse ajustes incorrectos de username_filter y mechanism a las definiciones de passdb. Estos ajustes aplicados incorrectamente pueden conllevar a una configuración de seguridad no deseada y pueden permitir una escalada de privilegios en determinadas configuraciones. La documentación no aconseja contra el uso de definiciones de passdb que tengan la misma configuración de driver y args. Una de estas configuraciones sería cuando un administrador desea usar la misma configuración PAM o archivo passwd para los usuarios normales y maestros, pero usa la configuración username_filter para restringir cuál de los usuarios puede ser un usuario maestro

Gravedad CVSS v3.1: ALTA

Última modificación:

23/05/2025

Vulnerabilidad en un archivo .python-version en pyenv (CVE-2022-35861)

Fecha de publicación:

17/07/2022

Idioma:

Español

pyenv versiones 1.2.24 hasta 2.3.2, permite a usuarios locales conseguir privilegios por medio de un archivo .python-version en el directorio de trabajo actual. Un atacante puede diseñar una cadena de versión de Python en .python-version para ejecutar shims bajo su control. (Los shims son ejecutables que pasan un comando a una versión específica de pyenv. La cadena de versión es usada para construir la ruta al comando, y no es comprobado si la versión especificada es una versión válida. Por lo tanto, puede producirse un salto de rutas relativo)

Gravedad CVSS v3.1: ALTA

Última modificación:

03/03/2023

Vulnerabilidad en Ferdi y Ferdium (CVE-2022-32320)

Fecha de publicación:

17/07/2022

Idioma:

Español

Una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en Ferdi versiones hasta 5.8.1 y Ferdium versiones hasta 6.0.0-nightly.98, permite a atacantes leer archivos por medio de un archivo cargado, como un archivo de configuración/preferencias

Gravedad CVSS v3.1: ALTA

Última modificación:

25/07/2022

Vulnerabilidad en el plugin Advanced Database Cleaner de WordPress (CVE-2022-2173)

Fecha de publicación:

17/07/2022

Idioma:

Español

El plugin Advanced Database Cleaner de WordPress versiones anteriores a 3.1.1, no escapa de numerosas URLs generadas antes de devolverlas en los atributos href de las páginas del panel de control del administrador, conllevando a un ataque de tipo Cross-Site Scripting Reflejado

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/07/2022

Vulnerabilidad en el parámetro $_SERVER["REQUEST_URI"] en el plugin Contact Form 7 Captcha de WordPress (CVE-2022-2187)

Fecha de publicación:

17/07/2022

Idioma:

Español

El plugin Contact Form 7 Captcha de WordPress versiones anteriores a 0.1.2, no escapa del parámetro $_SERVER["REQUEST_URI"] antes de devolverlo en un atributo, lo que podría conllevar a un ataque de tipo Cross-Site Scripting reflejado en navegadores antiguos

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/07/2022

Suscribirse a Vulnerabilidades