Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en SFTPGo (CVE-2022-36071)

Fecha de publicación:

02/09/2022

Idioma:

Español

SFTPGo es un servidor SFTP configurable con soporte opcional HTTP/S, FTP/S y WebDAV. SFTPGo WebAdmin y WebClient admiten el inicio de sesión mediante TOTP (Time-based One Time Passwords) como factor de autenticación secundario. Debido a que los TOTPs son configurados a menudo en dispositivos móviles que pueden ser perdidos, robados o dañados, SFTPGo también soporta códigos de recuperación. Estos son un conjunto de códigos de un solo uso que pueden ser usados en lugar de la TOTP. En las versiones de SFTPGo desde la versión 2.2.0 hasta 2.3.3, los códigos de recuperación pueden generarse antes de habilitar la autenticación de dos factores. Un atacante que conozca la contraseña del usuario podría generar potencialmente algunos códigos de recuperación y luego omitir la autenticación de dos factores después de habilitarla en la cuenta en un momento posterior. Este problema ha sido corregido en versión 2.3.4. Los códigos de recuperación ahora sólo pueden generarse después de habilitar la autenticación de dos factores y sean eliminados después de deshabilitarla

Gravedad CVSS v3.1: ALTA

Última modificación:

09/09/2022

Vulnerabilidad en Dell PowerScale OneFS (CVE-2022-34371)

Fecha de publicación:

02/09/2022

Idioma:

Español

Dell PowerScale OneFS, versiones 9.0.0 hasta 9.1.0.19, 9.2.1.12, 9.3.0.6 y 9.4.0.3 incluyéndola, contienen una vulnerabilidad de transporte de credenciales sin protección. Un atacante malicioso no privilegiado en la red podría explotar esta vulnerabilidad, conllevando a un compromiso total del sistema

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

08/08/2023

Vulnerabilidad en Dell PowerScale OneFS (CVE-2022-34369)

Fecha de publicación:

02/09/2022

Idioma:

Español

Dell PowerScale OneFS, versiones 9.0.0 hasta 9.1.0.20, 9.2.1.13, 9.3.0.6 y 9.4.0.3 incluyéndola, contienen una vulnerabilidad de inserción de información confidencial en archivos de registro. Un atacante remoto no privilegiado podría explotar esta vulnerabilidad, conllevando a una exposición de estos datos confidenciales

Gravedad CVSS v3.1: ALTA

Última modificación:

08/09/2022

Vulnerabilidad en /publiccms/admin/ueditor en PublicCMS (CVE-2021-27693)

Fecha de publicación:

02/09/2022

Idioma:

Español

Una vulnerabilidad de tipo Server-side Request Forgery (SSRF) en PublicCMS versiones anteriores a 4.0.202011.b, por medio de /publiccms/admin/ueditor cuando la acción es catchimage

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

08/09/2022

Vulnerabilidad en Modsecurity owasp-modsecurity-crs (CVE-2020-22669)

Fecha de publicación:

02/09/2022

Idioma:

Español

Modsecurity owasp-modsecurity-crs versión 3.2.0 (nivel de paranoia en PL1) presenta una vulnerabilidad de omisión de inyección SQL. Los atacantes pueden usar los caracteres de comentario y las asignaciones de variables en la sintaxis SQL para omitir la protección WAF de Modsecurity e implementar ataques de inyección SQL en aplicaciones web

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

03/11/2025

Vulnerabilidad en Binary (CVE-2022-36078)

Fecha de publicación:

02/09/2022

Idioma:

Español

Binary proporciona codificación/decodificación en Borsh y otros formatos. La vulnerabilidad es un fallo de asignación de memoria que puede ser explotada para asignar fragmentos en la memoria con un valor de tamaño (arbitrario) excesivo, que puede agotar la memoria disponible o bloquear todo el programa. Cuando es usada "github.com/gagliardetto/binary" para analizar datos no verificados (o de tipo incorrecto) procedentes de fuentes de entrada no confiables (por ejemplo, la cadena de bloques) en trozos, es posible asignar memoria con un tamaño excesivo. Cuando es usado el método "dec.Decode(&amp;val)" para parsear datos en una estructura que es o contiene trozos de valores, la longitud del trozo es leído previamente directamente de los propios datos sin ninguna comprobación del tamaño de los mismos, y luego es asignado un trozo. Esto podría conllevar a un desbordamiento y una asignación de memoria con un valor de tamaño excesivo. Los usuarios deberían actualizar a versiones "v0.7.1" o superiores. Una mitigación es no confiar en la función "dec.Decode(&amp;val)" para analizar los datos, sino usar un método personalizado "UnmarshalWithDecoder()" que lea y compruebe la longitud de cualquier slice

Gravedad CVSS v3.1: ALTA

Última modificación:

21/07/2023

Vulnerabilidad en el software de foros NodeBB (CVE-2022-36076)

Fecha de publicación:

02/09/2022

Idioma:

Español

El software de foros NodeBB funciona con Node.js y soporta Redis, MongoDB o una base de datos PostgreSQL. Debido a un condicional innecesariamente estricto en el código que maneja el primer paso del proceso de SSO, la lógica preexistente que agregaba (y luego verificaba) un nonce es convertido inadvertidamente en opt-in en lugar de opt-out. Esto Re expuso una vulnerabilidad en la que un ataque de tipo Man-in-the-Middle (MITM) especialmente diseñado podría teóricamente tomar el control de otra cuenta de usuario durante el proceso de inicio de sesión único. El problema ha sido completamente parcheado en la versión 1.17.2

Gravedad CVSS v3.1: ALTA

Última modificación:

08/09/2022

Vulnerabilidad en Discourse (CVE-2022-37458)

Fecha de publicación:

02/09/2022

Idioma:

Español

Discourse versiones hasta 2.8.7, permite a administradores enviar invitaciones a direcciones de correo electrónico arbitrarias a un ritmo ilimitado

Gravedad CVSS v3.1: ALTA

Última modificación:

08/08/2023

Vulnerabilidad en los clips MKV en múltiples dispositivos Snapdragon (CVE-2022-25659)

Fecha de publicación:

02/09/2022

Idioma:

Español

Una corrupción de memoria debido a un desbordamiento del búfer mientras son analizados clips MKV con un tamaño de mapa de bits no válido en Snapdragon Auto, Snapdragon Compute, Snapdragon Connectivity, Snapdragon Consumer IOT, Snapdragon Industrial IOT, Snapdragon Mobile, Snapdragon Voice &amp; Music, Snapdragon Wearables

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

19/04/2023

Vulnerabilidad en un clip ASF en múltiples dispositivos Snapdragon (CVE-2022-25668)

Fecha de publicación:

02/09/2022

Idioma:

Español

Una corrupción de memoria en el controlador de vídeo debido a una doble liberación mientras se analiza un clip ASF en Snapdragon Auto, Snapdragon Compute, Snapdragon Connectivity, Snapdragon Consumer IOT, Snapdragon Industrial IOT, Snapdragon Mobile, Snapdragon Voice &amp; Music, Snapdragon Wearables

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

19/04/2023

Vulnerabilidad en un clip MKV en múltiples dispositivos Snapdragon (CVE-2022-25657)

Fecha de publicación:

02/09/2022

Idioma:

Español

Una corrupción de la memoria debido al desbordamiento del búfer es producido mientras es procesado un clip MKV no válido que presenta un encabezado de búsqueda no válido en Snapdragon Auto, Snapdragon Compute, Snapdragon Connectivity, Snapdragon Industrial IOT, Snapdragon Mobile, Snapdragon Wearables

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

19/04/2023

Vulnerabilidad en el idioma en la función del analizador de vídeo en en múltiples dispositivos Snapdragon (CVE-2022-25658)

Fecha de publicación:

02/09/2022

Idioma:

Español

Una corrupción de la memoria debido a una aritmética de punteros incorrecta cuando es intentado cambiar el idioma en la función del analizador de vídeo en Snapdragon Auto, Snapdragon Compute, Snapdragon Connectivity, Snapdragon Consumer IOT, Snapdragon Industrial IOT, Snapdragon Mobile, Snapdragon Voice &amp; Music, Snapdragon Wearables

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

19/04/2023

Suscribirse a Vulnerabilidades