Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la función "show_logs_section" en el archivo ~/includes/admin/logging/class-log-handler.php en el plugin WP Fusion Lite WordPress (CVE-2021-34661)

Fecha de publicación:
09/08/2021
Idioma:
Español
El plugin WP Fusion Lite WordPress es vulnerable a un ataque de tipo Cross-Site Request Forgery por medio de la función "show_logs_section" encontrada en el archivo ~/includes/admin/logging/class-log-handler.php y que permite a atacantes dejar caer todos los registros del plugin, en versiones hasta 3.37.18 incluyéndola
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/08/2021

Vulnerabilidad en el servidor C2 y la comunicación de las balizas en Team Server en HelpSystems Cobalt Strike (CVE-2021-36798)

Fecha de publicación:
09/08/2021
Idioma:
Español
Se ha detectado una vulnerabilidad de Denegación de Servicio (DoS) en Team Server en HelpSystems Cobalt Strike versiones 4.2 y 4.3. Permite a atacantes remotos bloquear el hilo del servidor C2 y la comunicación de las balizas con él
Gravedad CVSS v3.1: ALTA
Última modificación:
17/08/2021

Vulnerabilidad en la página de error "404 Page not Found" en el servidor web TTiny Java Web Server and Servlet Container (TJWS) (CVE-2021-37573)

Fecha de publicación:
09/08/2021
Idioma:
Español
Una vulnerabilidad de tipo cross-site scripting (XSS) reflejado en el servidor web TTiny Java Web Server and Servlet Container (TJWS) versiones anteriores a 1.115 incluyéndola, permite a un adversario inyectar código malicioso en la página de error "404 Page not Found" del servidor
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/08/2021

Vulnerabilidad en Rocket.Chat server (CVE-2021-22910)

Fecha de publicación:
09/08/2021
Idioma:
Español
Se presenta una vulnerabilidad de saneo en Rocket.Chat server versiones anteriores a 3.13.2, anteriores a 3.12.4, anteriores a 3.11.4, que permitía realizar consultas a un endpoint que podía dar lugar a una inyección NoSQL, conllevando potencialmente a un RCE
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
25/10/2022

Vulnerabilidad en los datos iFrame en las peticiones HTTP en la interfaz web de Gurock TestRail (CVE-2021-37788)

Fecha de publicación:
09/08/2021
Idioma:
Español
Una vulnerabilidad en la interfaz web de Gurock TestRail versión v5.3.0.3603, podría permitir a un atacante remoto no autenticado afectar a la integridad de un dispositivo por medio de un ataque de clickjacking. La vulnerabilidad es debido a una comprobación insuficiente de entrada de datos iFrame en las peticiones HTTP que se envían a un dispositivo afectado. Un atacante podría aprovechar esta vulnerabilidad mediante el envío de paquetes HTTP diseñados con datos iFrame maliciosos. Una explotación con éxito podría permitir al atacante llevar a cabo un ataque de clickjacking donde el usuario es engañado para que haga clic en un enlace malicioso
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/08/2023

Vulnerabilidad en los archivos fuel/modules/fuel/config/fuel_constants.php y fuel/modules/fuel/libraries/Asset.php en FUEL CMS (CVE-2021-38290)

Fecha de publicación:
09/08/2021
Idioma:
Español
Se presenta una vulnerabilidad de ataque al encabezado del host en FUEL CMS versión 1.5.0, mediante los archivos fuel/modules/fuel/config/fuel_constants.php y fuel/modules/fuel/libraries/Asset.php. Un atacante puede usar un ataque de tipo man in the middle como el phishing
Gravedad CVSS v3.1: ALTA
Última modificación:
17/08/2021

Vulnerabilidad en ID del boletín en parámetros de Url en la función bulletin de Flygo (CVE-2021-37212)

Fecha de publicación:
09/08/2021
Idioma:
Español
La función bulletin de Flygo contiene una vulnerabilidad de tipo Insecure Direct Object Reference (IDOR). Después de ser autenticado como un usuario general, unos atacantes remotos pueden manipular el ID del boletín en parámetros específicos de Url y acceder y modificar el contenido particular del boletín
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/04/2022

Vulnerabilidad en ID del empleado y la fecha en parámetros en la página de registro de Flygo (CVE-2021-37213)

Fecha de publicación:
09/08/2021
Idioma:
Español
La página de registro de Flygo contiene una vulnerabilidad de tipo Insecure Direct Object Reference (IDOR). Tras autenticarse como usuario general, unos atacantes remotos pueden manipular el ID del empleado y la fecha en parámetros específicos para acceder al registro de entrada de un empleado concreto
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/04/2022

Vulnerabilidad en ID del empleado en parámetros en la página de gestión de empleados de Flygo (CVE-2021-37214)

Fecha de publicación:
09/08/2021
Idioma:
Español
La página de gestión de empleados de Flygo contiene una vulnerabilidad de tipo Insecure Direct Object Reference (IDOR). Después de ser autenticado como un usuario general, unos atacantes remotos pueden manipular el ID del empleado en parámetros específicos para acceder arbitrariamente a los datos del empleado, modificarlos, y luego obtener el privilegio de administrador y ejecutar un comando arbitrario
Gravedad CVSS v3.1: ALTA
Última modificación:
25/04/2022

Vulnerabilidad en la página de gestión de empleados de Flygo (CVE-2021-37215)

Fecha de publicación:
09/08/2021
Idioma:
Español
La página de gestión de empleados de Flygo contiene una vulnerabilidad de tipo Insecure Direct Object Reference (IDOR). Después de ser autenticado como un usuario general, un atacante remoto puede manipular los datos de usuario y luego sobrescribir los datos de usuario de otro empleado especificando el ID de ese empleado en el parámetro API
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/04/2022

Vulnerabilidad en los caracteres especiales en la función bulletin de Flygo (CVE-2021-37211)

Fecha de publicación:
09/08/2021
Idioma:
Español
La función bulletin de Flygo no filtra los caracteres especiales mientras se añade un nuevo anuncio. Unos atacantes remotos pueden usar la vulnerabilidad con las credenciales del usuario general para inyectar JavaScript y ejecutar ataques de tipo XSS almacenados
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/08/2021

Vulnerabilidad en los valores de entrada del navegador en el plugin de WordPress Side Menu Lite - add sticky fixed buttons (CVE-2021-24521)

Fecha de publicación:
09/08/2021
Idioma:
Español
El plugin de WordPress Side Menu Lite - add sticky fixed buttons versiones anteriores a 2.2.1, no sanea apropiadamente los valores de entrada del navegador cuando se construye una sentencia SQL. Unos usuarios con el rol de administrador o con permiso para administrar este plugin podrían llevar a cabo un ataque de inyección SQL
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023