Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en peticiones GET en parámetros arbitrarios en patient.page. en OpenMRS Reference Application Standalone Edition y Platform Standalone Edition (CVE-2021-43094)

Fecha de publicación:

10/05/2022

Idioma:

Español

Se presenta una vulnerabilidad de inyección SQL en OpenMRS Reference Application Standalone Edition versiones anteriores a 2.11 incluyéndola, y Platform Standalone Edition versiones anteriores a 2.4.0 incluyéndola, por medio de peticiones GET en parámetros arbitrarios en patient.page

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/05/2022

Vulnerabilidad en un AuthToken en Desigo DXR2, Desigo PXC3, Desigo PXC4, Desigo PXC5 (CVE-2022-24042)

Fecha de publicación:

10/05/2022

Idioma:

Español

Se ha identificado una vulnerabilidad en Desigo DXR2 (Todas las versiones anteriores a V01.21.142.5-22), Desigo PXC3 (Todas las versiones anteriores a V01.21.142.4-18), Desigo PXC4 (Todas las versiones anteriores a V02.20.142.10-10884), Desigo PXC5 (Todas las versiones anteriores a V02.20.142.10-10884). La aplicación web devuelve un AuthToken que no expira en el tiempo de espera de cierre de sesión automático definido. Un atacante podría ser capaz de capturar este token y reutilizar credenciales de sesión antiguas o IDs de sesión para la autorización

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

06/10/2022

Vulnerabilidad en los hashes de las contraseñas almacenadas en Desigo DXR2, Desigo PXC3, Desigo PXC4, Desigo PXC5 (CVE-2022-24041)

Fecha de publicación:

10/05/2022

Idioma:

Español

Se ha identificado una vulnerabilidad en Desigo DXR2 (Todas las versiones anteriores a V01.21.142.5-22), Desigo PXC3 (Todas las versiones anteriores a V01.21.142.4-18), Desigo PXC4 (Todas las versiones anteriores a V02.20.142.10-10884), Desigo PXC5 (Todas las versiones anteriores a V02.20.142.10-10884). La aplicación web almacena la clave derivada PBKDF2 de las contraseñas de los usuarios con un bajo número de iteraciones. Un atacante con privilegios de acceso al perfil de usuario puede recuperar los hashes de las contraseñas almacenadas de otras cuentas y luego realizar con éxito un ataque de cracking offline y recuperar las contraseñas en texto plano de otros usuarios

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/10/2022

Vulnerabilidad en la clave derivada PBKDF2 en Desigo DXR2, Desigo PXC3, Desigo PXC4, Desigo PXC5 (CVE-2022-24040)

Fecha de publicación:

10/05/2022

Idioma:

Español

Se ha identificado una vulnerabilidad en Desigo DXR2 (Todas las versiones anteriores a V01.21.142.5-22), Desigo PXC3 (Todas las versiones anteriores a V01.21.142.4-18), Desigo PXC4 (Todas las versiones anteriores a V02.20.142.10-10884), Desigo PXC5 (Todas las versiones anteriores a V02.20.142.10-10884). La aplicación web no aplica un límite superior al factor de coste de la clave derivada PBKDF2 durante la creación o actualización de una cuenta. Un atacante con el privilegio de acceso al perfil de usuario podría causar una condición de denegación de servicio (DoS) a través del consumo de la CPU mediante la configuración de una clave derivada PBKDF2 con un esfuerzo de coste notablemente alto y luego intentar un inicio de sesión en la cuenta así modificada

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/10/2022

Vulnerabilidad en la función JavaScript "addCell" en Desigo PXC4, Desigo PXC5 (CVE-2022-24039)

Fecha de publicación:

10/05/2022

Idioma:

Español

Se ha identificado una vulnerabilidad en Desigo PXC4 (Todas las versiones anteriores a V02.20.142.10-10884), Desigo PXC5 (Todas las versiones anteriores a V02.20.142.10-10884). La función JavaScript "addCell" no sanea adecuadamente la entrada controlable por el usuario antes de incluirla en el cuerpo XML generado del documento de informe XLS, de modo que es posible inyectar contenido arbitrario (por ejemplo, etiquetas XML) en el archivo generado. Un atacante con privilegios restringidos, al envenenar cualquiera de los contenidos utilizados para generar informes XLS, podría aprovechar la aplicación para entregar archivos maliciosos contra usuarios con mayores privilegios y obtener la Ejecución Remota de Código (RCE) contra la estación de trabajo del administrador

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

30/06/2023

Vulnerabilidad en el suministro de un objeto diseñado en la función mapObjIndexed en Ramda (CVE-2021-42581)

Fecha de publicación:

10/05/2022

Idioma:

Español

** EN DISPUTA ** Un envenenamiento de prototipos en la función mapObjIndexed en Ramda versiones 0.27.0 y anteriores, permite a atacantes comprometer la integridad o la disponibilidad de la aplicación por medio del suministro de un objeto diseñado (que contiene una propiedad propia "__proto__") como argumento de la función. NOTA: el proveedor discute esto porque el comportamiento observado sólo significa que un usuario puede crear objetos que el usuario no sabía que contendrían prototipos personalizados

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

04/08/2024

Vulnerabilidad en un paquete de protocolo BACnet en Desigo DXR2, Desigo PXC3, Desigo PXC4, Desigo PXC5 (CVE-2021-41545)

Fecha de publicación:

10/05/2022

Idioma:

Español

Gravedad CVSS v3.1: ALTA

Última modificación:

19/05/2022

Vulnerabilidad en Integrated Lights-Out 4 (iLO 4) (CVE-2022-23704)

Fecha de publicación:

09/05/2022

Idioma:

Español

Se ha identificado una posible vulnerabilidad de seguridad en Integrated Lights-Out 4 (iLO 4). La vulnerabilidad podría permitir una Denegación de Servicio remota. La vulnerabilidad ha sido resuelta en Integrated Lights-Out 4 (iLO 4) versiones 2.80 y posteriores

Gravedad CVSS v3.1: ALTA

Última modificación:

19/05/2022

Vulnerabilidad en las matrices HPE Nimble Storage Hybrid Flash, las matrices HPE Nimble Storage All Flash y las matrices HPE Nimble Storage Secondary Flash (CVE-2022-23705)

Fecha de publicación:

09/05/2022

Idioma:

Español

Se ha identificado una vulnerabilidad de seguridad en las matrices HPE Nimble Storage Hybrid Flash, las matrices HPE Nimble Storage All Flash y las matrices HPE Nimble Storage Secondary Flash que podría permitir una carga, pero no una ejecución, de binarios de actualización no autorizados en la matriz. HPE ha realizado las siguientes actualizaciones de software para resolver la vulnerabilidad en HPE Nimble Storage: versiones 5.0.10.100 o posteriores, versiones 5.2.1.0 o posteriores, versiones 6.0.0.100 o posteriores

Gravedad CVSS v3.1: ALTA

Última modificación:

08/08/2023

Vulnerabilidad en el Formulario de Adición de Nuevos Empleados en Sourcecodester Employee Daily Task Management System (CVE-2021-43712)

Fecha de publicación:

09/05/2022

Idioma:

Español

Una vulnerabilidad de tipo XSS almacenado en el Formulario de Adición de Nuevos Empleados en Sourcecodester Employee Daily Task Management System versión 1.0, permite a un atacante remoto inyectar/almacenar código arbitrario por medio del campo del nombre

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/05/2022

Vulnerabilidad en el formulario de acceso en Bonanza Wealth Management System (BWM) (CVE-2022-30335)

Fecha de publicación:

09/05/2022

Idioma:

Español

Bonanza Wealth Management System (BWM) versión 7.3.2, permite una inyección SQL por medio del formulario de acceso. Los usuarios que suministren a la aplicación una carga útil de inyección SQL en el cuadro de texto User Name podrían recoger todas las contraseñas en formato cifrado del componente Microsoft SQL Server

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/05/2022

Vulnerabilidad en 1Password para Mac (CVE-2022-29868)

Fecha de publicación:

09/05/2022

Idioma:

Español

1Password para Mac versiones 7.2.4 hasta 7.9.x anteriores a 7.9.3, es vulnerable a una omisión de comprobación de procesos. El software malicioso que es ejecutado en el mismo equipo puede exfiltrar secretos de 1Password siempre que éste esté ejecutándose y esté desbloqueado. Los secretos afectados incluyen elementos de la bóveda y valores derivados usados para iniciar sesión en 1Password

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/05/2022

Suscribirse a Vulnerabilidades