Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en IBM Engineering Lifecycle Optimization - Publishing (CVE-2021-39015)

Fecha de publicación:
14/07/2022
Idioma:
Español
IBM Engineering Lifecycle Optimization - Publishing versiones 7.0, 7.0.1 y 7.0.2, es vulnerable a un ataque de tipo cross-site scripting. Esta vulnerabilidad permite a usuarios insertar código JavaScript arbitrario en la Interfaz de Usuario Web, alterando así la funcionalidad prevista y conllevando potencialmente a una divulgación de credenciales dentro de una sesión confiable. IBM X-Force ID: 213655
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/03/2025

Vulnerabilidad en una petición HTTP en IBM Security Verify Information Queue (CVE-2022-35283)

Fecha de publicación:
14/07/2022
Idioma:
Español
IBM Security Verify Information Queue versión 10.0.2 podría permitir a un usuario autenticado causar una denegación de servicio con una petición HTTP especialmente diseñada
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/07/2022

Vulnerabilidad en IBM WebSphere Application Server (CVE-2022-22477)

Fecha de publicación:
14/07/2022
Idioma:
Español
IBM WebSphere Application Server versiones 8.5 y 9.0 es vulnerable al cross-site scripting. Esta vulnerabilidad permite a usuarios insertar código JavaScript arbitrario en la Interfaz de Usuario Web, alterando así la funcionalidad prevista y conllevando potencialmente a una divulgación de credenciales dentro de una sesión confiable. IBM X-Force ID: 225605
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/07/2022

Vulnerabilidad en IBM Engineering Lifecycle Optimization - Publishing (CVE-2021-39017)

Fecha de publicación:
14/07/2022
Idioma:
Español
IBM Engineering Lifecycle Optimization - Publishing versiones 6.0.6, 6.0.6.1, 7.0, 7.0.1 y 7.0.2, podría permitir a un atacante remoto cargar archivos arbitrarios, causado por controles de acceso inapropiados. IBM X-Force ID: 213725
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/03/2025

Vulnerabilidad en los datos de la Consola Administrativa en IBM WebSphere Application Server (CVE-2022-22473)

Fecha de publicación:
14/07/2022
Idioma:
Español
IBM WebSphere Application Server versiones 7.0, 8.0, 8.5 y 9.0 podría permitir a un atacante remoto obtener información confidencial causada por un manejo inapropiado de los datos de la Consola Administrativa. Esta información podría usarse en otros ataques contra el sistema. IBM X-Force ID: 225347
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/08/2023

Vulnerabilidad en Sage 300 ERP (CVE-2021-45492)

Fecha de publicación:
14/07/2022
Idioma:
Español
En Sage 300 ERP (anteriormente accpac) versiones hasta 6.8.x, el instalador configura el directorio C:\Sage\Sage300\Runtime para que sea la primera entrada en la variable de entorno PATH del sistema. Sin embargo, este directorio puede ser escrito por usuarios no privilegiados porque el instalador de Sage no establece permisos explícitos y, por lo tanto, hereda los permisos débiles de la carpeta C:\N. Debido a que las entradas en la variable PATH de todo el sistema son incluidas en el orden de búsqueda de DLLs, un atacante podría llevar a cabo el secuestro del orden de búsqueda de DLLs para escalar sus privilegios a SYSTEM. Además, si la funcionalidad de Búsqueda Global o Pantallas Web está habilitada, entonces es posible una escalada de privilegios por medio de los servicios GlobalSearchService y Sage.CNA.WindowsService, de nuevo por medio del secuestro del orden de búsqueda de DLL porque los usuarios no privilegiados tendrían permisos de modificación en el directorio de la aplicación. Tenga en cuenta que mientras las versiones más antiguas del software son instaladas por defecto en %PROGRAMFILES(X86)% (lo que permitiría que la carpeta Sage heredara permisos fuertes, haciendo que la instalación no fuera vulnerable), las guías oficiales de instalación de Sage 300 para esas versiones recomiendan instalar en C:\NSage, lo que haría que la instalación fuera vulnerable
Gravedad CVSS v3.1: ALTA
Última modificación:
08/08/2023

Vulnerabilidad en Node.js (CVE-2022-32223)

Fecha de publicación:
14/07/2022
Idioma:
Español
Node.js es vulnerable a un Flujo de Ejecución de Secuestro: Secuestro de DLL bajo determinadas condiciones en plataformas Windows. Esta vulnerabilidad puede ser explotada si la víctima presenta las siguientes dependencias en una máquina Windows:* OpenSSL ha sido instalada y "C:\Program Files\Common Files\SSL\openssl.cnf" se presenta. Siempre que sean dadas las condiciones anteriores, "node.exe" buscará "providers.dll" en el directorio actual del usuario. Después, "node.exe" intentará buscar "providers.dll" mediante el orden de búsqueda de DLL en Windows. Es posible que un atacante coloque el archivo malicioso "providers.dll" en una variedad de rutas y explote esta vulnerabilidad
Gravedad CVSS v3.1: ALTA
Última modificación:
28/10/2022

Vulnerabilidad en el archivo relay_cgi.cgi en los dispositivos de retransmisión Dingtian DT-R002 2CH (CVE-2022-29593)

Fecha de publicación:
14/07/2022
Idioma:
Español
El archivo relay_cgi.cgi en los dispositivos de retransmisión Dingtian DT-R002 2CH con firmware 3.1.276A, permite a un atacante reproducir peticiones HTTP post sin necesidad de autenticación o una petición válida firmada/autorizada
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/05/2025

Vulnerabilidad en "Undici.ProxyAgent" (CVE-2022-32210)

Fecha de publicación:
14/07/2022
Idioma:
Español
"Undici.ProxyAgent" nunca verifica el certificado del servidor remoto, y siempre expone todos los datos de petición y respuesta al proxy. Esto significa inesperadamente que los proxies pueden MitM todo el tráfico HTTPS, y si la URL del proxy es HTTP entonces también significa que las peticiones nominalmente HTTPS son realmente enviadas por medio de texto plano HTTP entre Undici y el servidor proxy
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/07/2022

Vulnerabilidad en el directorio de ayuda de Veeam Management Pack for Microsoft System Center (CVE-2022-32225)

Fecha de publicación:
14/07/2022
Idioma:
Español
Se ha detectado una vulnerabilidad de tipo XSS basada en DOM reflejado en el directorio de ayuda de Veeam Management Pack for Microsoft System Center versión 8.0. Esta vulnerabilidad podría ser explotada por un atacante al convencer a un usuario legítimo de visitar una URL diseñada en un servidor de Veeam Management Pack for Microsoft System Center, permitiendo una ejecución de scripts arbitrarios
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/07/2022

Vulnerabilidad en el escaneo del componente aeheur.dll en F-Secure Atlant y determinados productos WithSecure (CVE-2022-28876)

Fecha de publicación:
14/07/2022
Idioma:
Español
Se ha detectado una vulnerabilidad de denegación de servicio (DoS) en F-Secure Atlant y en determinados productos WithSecure por la que el escaneo del componente aeheur.dll puede bloquear el motor de escaneo. La explotación puede ser desencadenado remotamente por un atacante
Gravedad CVSS v3.1: ALTA
Última modificación:
21/07/2022

Vulnerabilidad en Node.js (CVE-2022-32212)

Fecha de publicación:
14/07/2022
Idioma:
Español
Se presenta una vulnerabilidad de inyección de comandos en el Sistema Operativo en Node.js versiones anteriores a 14.20.0, anteriores a 16.16.0, anteriores a 18.5.0, debido a una comprobación insuficiente de IsAllowedHost que puede ser fácilmente omitida porque IsIPAddress no comprueba correctamente si una dirección IP no es válida antes de realizar peticiones DBS permitiendo ataques de reenganche.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/02/2023