Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en PingID Windows Login (CVE-2021-41992)

Fecha de publicación:
30/04/2022
Idioma:
Español
Una configuración errónea de RSA en PingID Windows Login versiones anteriores a 2.7, es vulnerable a ataques de diccionario precalculado, conllevando a una omisión de MFA sin conexión
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/09/2022

Vulnerabilidad en la extensión SecurePoll en MediaWiki (CVE-2022-28323)

Fecha de publicación:
30/04/2022
Idioma:
Español
Se ha detectado un problema en MediaWiki versiones hasta 1.37.2. La extensión SecurePoll permite un filtrado porque es admitida una ordenación por marca de tiempo
Gravedad CVSS v3.1: ALTA
Última modificación:
10/05/2022

Vulnerabilidad en varios componentes de Apache NiFi (CVE-2022-29265)

Fecha de publicación:
30/04/2022
Idioma:
Español
Varios componentes de Apache NiFi versiones 0.0.1 a 1.16.0, no restringen las referencias de tipo XML External Entity en la configuración por defecto. El servicio Standard Content Viewer intenta resolver las referencias a Entidades Externas XML cuando son visualizados archivos XML formateados. Los siguientes procesadores intentan resolver las referencias a entidades externas XML cuando están configurados con los valores predeterminados de las propiedades: - EvaluateXPath - EvaluateXQuery - ValidateXml Las configuraciones de flujo de Apache NiFi que incluyen estos procesadores son vulnerables a documentos XML maliciosos que contienen Declaraciones de Tipo de Documento con referencias a Entidades Externas XML. La resolución deshabilita las Declaraciones de Tipo de Documento en la configuración por defecto de estos Procesadores, y deshabilita la resolución de Entidades Externas XML en los servicios estándar
Gravedad CVSS v3.1: ALTA
Última modificación:
10/05/2022

Vulnerabilidad en el archivo static_compressed_inmemory_website_callback.c en Glewlwyd (CVE-2022-29967)

Fecha de publicación:
29/04/2022
Idioma:
Español
el archivo static_compressed_inmemory_website_callback.c en Glewlwyd versiones hasta 2.6.2 permite un salto de directorios
Gravedad CVSS v3.1: ALTA
Última modificación:
10/05/2022

Vulnerabilidad en la configuración de OpenSSL en NVIDIA Omniverse Nucleus y Cache (CVE-2022-28198)

Fecha de publicación:
29/04/2022
Idioma:
Español
NVIDIA Omniverse Nucleus y Cache contienen una vulnerabilidad en su configuración de OpenSSL, donde un atacante con acceso físico al sistema puede causar la ejecución de código arbitrario que puede impactar en la confidencialidad, integridad y disponibilidad
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/05/2022

Vulnerabilidad en los registros de construcción en Woodpecker (CVE-2022-29947)

Fecha de publicación:
29/04/2022
Idioma:
Español
Woodpecker versiones anteriores a 0.15.1, permite un ataque de tipo XSS por medio de los registros de construcción porque web/src/components/repo/build/BuildLog.vue carece de escapes
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/05/2022

Vulnerabilidad en el paquete @yaireo/tagify (CVE-2022-25854)

Fecha de publicación:
29/04/2022
Idioma:
Español
Esto afecta al paquete @yaireo/tagify versiones anteriores a 4.9.8. El paquete es usado para renderizar los componentes de la interfaz de usuario dentro de los campos de entrada o de texto, y un atacante puede pasarle un valor de marcador de posición malicioso para disparar una carga útil de tipo XSS
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2022

Vulnerabilidad en el protocolo AeroScope en los dispositivos de drones de DJI (CVE-2022-29945)

Fecha de publicación:
29/04/2022
Idioma:
Español
Los dispositivos de drones de DJI vendidos en 2017 hasta 2022, transmiten información no cifrada sobre la ubicación física del operador del dron por medio del protocolo AeroScope
Gravedad CVSS v3.1: ALTA
Última modificación:
08/08/2023

Vulnerabilidad en el repositorio de GitHub erudika/scoold (CVE-2022-1543)

Fecha de publicación:
29/04/2022
Idioma:
Español
Un Manejo Inapropiado del Parámetro Length en el repositorio de GitHub erudika/scoold versiones anteriores a 1.49.4. Cuando el tamaño del texto es lo suficientemente grande, el servicio resulta en una interrupción momentánea en un entorno de producción. Esto puede conllevar a una corrupción de memoria en el servidor
Gravedad CVSS v3.1: ALTA
Última modificación:
11/05/2022

Vulnerabilidad en la optimización de Oracle USU (CVE-2022-29936)

Fecha de publicación:
29/04/2022
Idioma:
Español
La optimización de Oracle USU versiones anteriores a 5.17, permite a usuarios autenticados de quantum lograr una ejecución de código remota debido a una deserialización de Java /v2/quantum/save-data-upload-big-file. NOTA: este no es un producto de Oracle Corporation
Gravedad CVSS v3.1: ALTA
Última modificación:
11/05/2022

Vulnerabilidad en la optimización de Oracle USU (CVE-2022-29937)

Fecha de publicación:
29/04/2022
Idioma:
Español
La optimización de Oracle USU versiones anteriores a 5.17.5, permite a los usuarios autenticados de DataCollection conseguir el acceso al root del agente porque algunos comandos comunes del SO están bloqueados pero (por ejemplo) un comando del SO para la decodificación de base64 no está bloqueado. NOTA: este no es un producto de Oracle Corporation
Gravedad CVSS v3.1: ALTA
Última modificación:
11/05/2022

Vulnerabilidad en USU Oracle Optimization (CVE-2022-29934)

Fecha de publicación:
29/04/2022
Idioma:
Español
USU Oracle Optimization versiones anteriores a 5.17.5, carece de autenticación Polkit, lo que permite a usuarios de smartcollector conseguir acceso root por medio de pkexec. NOTA: este no es un producto de Oracle Corporation
Gravedad CVSS v3.1: ALTA
Última modificación:
08/08/2023