Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en AbstractSxExportURLFactoryActionHandler#processSx en XWiki Platform (CVE-2022-23620)

Fecha de publicación:

09/02/2022

Idioma:

Español

XWiki Platform es una plataforma wiki genérica que ofrece servicios de tiempo de ejecución para las aplicaciones construidas sobre ella. En las versiones afectadas AbstractSxExportURLFactoryActionHandler#processSx no escapa nada de las referencias de los documentos SSX cuando los serializa en el sistema de ficheros, es posible que el proceso de exportación HTML contenga elementos de referencia que contengan sintaxis del sistema de ficheros como "../", "./". o "/" en general. Los elementos referenciados no son escapados apropiadamente. Este problema ha sido resuelto en versión 13.6-rc-1. Este problema puede mitigarse limitando o deshabilitando la exportación de documentos

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/06/2023

Vulnerabilidad en XWiki#invokeServletAndReturnAsString en XWiki Platform (CVE-2022-23621)

Fecha de publicación:

09/02/2022

Idioma:

Español

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para las aplicaciones construidas sobre ella. En las versiones afectadas cualquier usuario con derecho SCRIPT puede leer cualquier archivo ubicado en el WAR de XWiki (por ejemplo xwiki.cfg y xwiki.properties) mediante XWiki#invokeServletAndReturnAsString como "$xwiki.invokeServletAndReturnAsString("/WEB-INF/xwiki.cfg")". Este problema ha sido parcheado en las versiones 12.10.9, 13.4.3 y 13.7-rc-1 de XWiki. Es recomendado a usuarios que actualicen. La única medida de mitigación es limitar el derecho de SCRIPT

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/07/2023

Vulnerabilidad en superjson (CVE-2022-23631)

Fecha de publicación:

09/02/2022

Idioma:

Español

superjson es un programa que permite serializar expresiones JavaScript a un superconjunto de JSON. En las versiones anteriores a 1.8.1 superjson permite ejecutar código arbitrario en cualquier servidor que use superjson sin necesidad de autenticación o conocimiento previo. El único requisito es que el servidor implemente al menos un endpoint que use superjson durante el procesamiento de la petición. Esto ha sido parcheado en superjson versión 1.8.1. Es recomendado a usuarios actualizar. No se presentan medidas de mitigación conocidas para este problema

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/02/2026

Vulnerabilidad en el formulario "Forgot your password" en XWiki Platform (CVE-2022-23619)

Fecha de publicación:

09/02/2022

Idioma:

Español

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para las aplicaciones construidas sobre ella. En las versiones afectadas es posible adivinar si un usuario presenta una cuenta en el wiki usando el formulario "Forgot your password", incluso si el wiki está cerrado a usuarios invitados. Este problema ha sido parcheado en XWiki versiones 12.10.9, 13.4.1 y 13.6RC1. Es recomendado a usuarios actualizar. No se presentan medidas de mitigación conocidas para este problema

Gravedad CVSS v3.1: ALTA

Última modificación:

15/02/2022

Vulnerabilidad en XWiki Platform (CVE-2022-23616)

Fecha de publicación:

09/02/2022

Idioma:

Español

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para las aplicaciones construidas sobre ella. En las versiones afectadas es posible que un usuario no privilegiado lleve a cabo una ejecución de código remota al inyectar un script groovy en su propio perfil y llamando a la funcionalidad Reset password, ya que ésta lleva a cabo un guardado del perfil del usuario con derechos de programación en las versiones afectadas de XWiki. El problema ha sido parcheado en XWiki versión 13.1RC1. Se presentan dos posibles medidas de mitigación, cada una consistiendo en modificar la página XWiki/ResetPassword. 1. La funcionalidad Reset password puede deshabilitarse por completo al borrar la página XWiki/ResetPassword. 2. El script en XWiki/ResetPassword también puede ser modificado o eliminado: un administrador puede sustituirlo por un simple contacto de correo electrónico para pedir a un administrador que restablezca la contraseña

Gravedad CVSS v3.1: ALTA

Última modificación:

15/02/2022

Vulnerabilidad en XWiki Platform (CVE-2022-23617)

Fecha de publicación:

09/02/2022

Idioma:

Español

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para las aplicaciones construidas sobre ella. En las versiones afectadas cualquier usuario con derecho de edición puede copiar el contenido de una página a la que no presenta acceso usándola como plantilla de una nueva página. Este problema ha sido parcheado en XWiki versiones 13.2CR1 y 12.10.6. Es recomendado a usuarios actualizar. No se presentan medidas de mitigación conocidas para este problema

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/02/2022

Vulnerabilidad en XWiki Platform (CVE-2022-23618)

Fecha de publicación:

09/02/2022

Idioma:

Español

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para las aplicaciones construidas sobre ella. En las versiones afectadas no se presenta protección contra el redireccionamiento de URLs a sitios no confiables, en particular algunos parámetros bien conocidos (xredirect) pueden ser usados para llevar a cabo redirecciones de url. Este problema ha sido parcheado en XWiki versión 12.10.7 y XWiki versión 13.3RC1. Es recomendado a usuarios actualizar. No se presentan medidas de mitigación conocidas para este problema

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/02/2022

Vulnerabilidad en XWiki Platform (CVE-2022-23615)

Fecha de publicación:

09/02/2022

Idioma:

Español

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para las aplicaciones construidas sobre ella. En las versiones afectadas, cualquier usuario con derecho de SCRIPT puede guardar un documento con el derecho del usuario actual, lo que permite acceder a la API que requiere derecho de programación si el usuario actual presenta derecho de programación. Esto ha sido parcheado en XWiki versión 13.0. Es recomendado a usuarios actualizar para resolver este problema. La única medida de mitigación conocida es limitar el acceso a SCRIPT

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/02/2022

Vulnerabilidad en el envío de un paquete HTTP en la aplicación web de D-Link DIR-X1860 (CVE-2021-41442)

Fecha de publicación:

09/02/2022

Idioma:

Español

Un ataque de contrabando HTTP en la aplicación web de D-Link DIR-X1860 versiones anteriores a v1.10WB09_Beta, permite a un atacante remoto no autenticado hacer DoS a la aplicación web por medio del envío de un paquete HTTP específico

Gravedad CVSS v3.1: ALTA

Última modificación:

14/02/2024

Vulnerabilidad en el parámetro skin en los archivos 1) index.php, 2) bottom.php, y 3) top_index.php en ZZCMS (CVE-2021-45286)

Fecha de publicación:

09/02/2022

Idioma:

Español

Se presenta una vulnerabilidad de Salto de Directorio en ZZCMS versión 2021, por medio del parámetro skin en los archivos 1) index.php, 2) bottom.php, y 3) top_index.php

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/02/2022

Vulnerabilidad en la función "setUserInfo" en Gin-vue-admin (CVE-2022-21660)

Fecha de publicación:

09/02/2022

Idioma:

Español

Gin-vue-admin es un sistema de administración de bambalinas basado en vue y gin. En versiones anteriores a 2.4.7, los usuarios poco privilegiados pueden modificar a usuarios con mayores privilegios. Falta la autenticación en la función "setUserInfo". Es recomendado a usuarios actualizar lo antes posible. No se presentan medidas de mitigación conocidas

Gravedad CVSS v3.1: ALTA

Última modificación:

15/02/2022

Vulnerabilidad en Dell EMC Integrated System para Microsoft Azure Stack Hub (CVE-2021-36302)

Fecha de publicación:

09/02/2022

Idioma:

Español

Todas las versiones de Dell EMC Integrated System para Microsoft Azure Stack Hub contienen una vulnerabilidad de escalada de privilegios. Un usuario remoto malicioso con credenciales JEA de nivel estándar puede explotar potencialmente esta vulnerabilidad para elevar los privilegios y tomar el control del sistema

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/02/2022

Suscribirse a Vulnerabilidades