Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la función meshSlaveDlfw del router TOTOLINK Technology T6 (CVE-2022-25132)
Fecha de publicación:
19/02/2022
Idioma:
Español
Una vulnerabilidad de inyección de comandos en la función meshSlaveDlfw del router TOTOLINK Technology T6 versión V3_Firmware T6_V3_V4.1.5cu.748_B20211015, permite a atacantes ejecutar comandos arbitrarios por medio de un paquete MQTT diseñado
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/02/2022

Vulnerabilidad en un paquete MQTT en la función isAssocPriDevice del router TOTOLINK Technology T6 (CVE-2022-25133)
Fecha de publicación:
19/02/2022
Idioma:
Español
Una vulnerabilidad de inyección de comandos en la función isAssocPriDevice del router TOTOLINK Technology T6 versión V3_Firmware T6_V3_V4.1.5cu.748_B20211015, permite a atacantes ejecutar comandos arbitrarios por medio de un paquete MQTT diseñado
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/02/2022

Vulnerabilidad en un paquete MQTT en la función setUpgradeFW del router TOTOLINK Technology T6 (CVE-2022-25134)
Fecha de publicación:
19/02/2022
Idioma:
Español
Una vulnerabilidad de inyección de comandos en la función setUpgradeFW del router TOTOLINK Technology T6 versión V3_Firmware T6_V3_V4.1.5cu.748_B20211015, permite a atacantes ejecutar comandos arbitrarios por medio de un paquete MQTT diseñado
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/02/2022

Vulnerabilidad en un paquete MQTT la función recv_mesh_info_sync del router TOTOLINK Technology T6 (CVE-2022-25135)
Fecha de publicación:
19/02/2022
Idioma:
Español
Una vulnerabilidad de inyección de comandos en la función recv_mesh_info_sync del router TOTOLINK Technology T6 versión V3_Firmware T6_V3_V4.1.5cu.748_B20211015, permite a atacantes ejecutar comandos arbitrarios por medio de un paquete MQTT diseñado
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/02/2022

Vulnerabilidad en un paquete MQTT en la función meshSlaveUpdate de los routers TOTOLINK Technology T6 (CVE-2022-25136)
Fecha de publicación:
19/02/2022
Idioma:
Español
Una vulnerabilidad de inyección de comandos en la función meshSlaveUpdate de los routers TOTOLINK Technology T6 versión V3_Firmware T6_V3_V4.1.5cu.748_B20211015 y T10 V2_Firmware V4.1.8cu.5207_B20210320, permite a atacantes ejecutar comandos arbitrarios por medio de un paquete MQTT diseñado
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/02/2022

Vulnerabilidad en un paquete MQTT en la función recvSlaveUpgstatus de los routers TOTOLINK Technology T6 (CVE-2022-25137)
Fecha de publicación:
19/02/2022
Idioma:
Español
Una vulnerabilidad de inyección de comandos en la función recvSlaveUpgstatus de los routers TOTOLINK Technology T6 versión V3_Firmware T6_V3_V4.1.5cu.748_B20211015 y T10 V2_Firmware V4.1.8cu.5207_B20210320 permite a atacantes ejecutar comandos arbitrarios por medio de un paquete MQTT diseñado
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/02/2022

Vulnerabilidad en los parámetros tongji y baidu_map en el archivo /user/ztconfig.php en BaiCloud-cms (CVE-2021-44302)
Fecha de publicación:
19/02/2022
Idioma:
Español
Se ha detectado que BaiCloud-cms versión v2.5.7, contiene múltiples vulnerabilidades de inyección SQL por medio de los parámetros tongji y baidu_map en el archivo /user/ztconfig.php
Gravedad CVSS v3.1: ALTA
Última modificación:
28/02/2022

Vulnerabilidad en el servicio "gitserver" en Sourcegraph (CVE-2022-23642)
Fecha de publicación:
18/02/2022
Idioma:
Español
Sourcegraph es un motor de búsqueda y navegación de código. Sourcegraph versiones anteriores a 3.37, es vulnerable a una ejecución de código remota en el servicio "gitserver". El servicio actúa como un proxy de git exec, y no restringe apropiadamente la llamada a "git config". Esto permite a un atacante configurar la opción git "core.sshCommand", que establece que git use el comando especificado en lugar de ssh cuando necesite conectarse a un sistema remoto. Una explotación de esta vulnerabilidad depende de cómo sea desplegado Sourcegraph. Un atacante capaz de hacer peticiones HTTP a servicios internos como gitserver es capaz de explotarla. Este problema está parcheado en la versión 3.37 de Sourcegraph. Como medida de mitigación, asegúrate de que las peticiones a gitserver están correctamente protegidas
Gravedad CVSS v3.1: ALTA
Última modificación:
27/06/2023

Vulnerabilidad en MediaWiki (CVE-2017-0371)
Fecha de publicación:
18/02/2022
Idioma:
Español
MediaWiki versiones anteriores a 1.23.16, versiones 1.24.x hasta 1.27.x anteriores a 1.27.2 y versiones 1.28.x anteriores a 1.28.1, permite a atacantes remotos descubrir las direcciones IP de los visitantes del Wiki por medio de un ataque style="background-image: attr(title url);" dentro de un elemento DIV que presenta una URL controlada por el atacante en el atributo title
Gravedad CVSS v3.1: ALTA
Última modificación:
28/02/2022

Vulnerabilidad en Netmaker (CVE-2022-23650)
Fecha de publicación:
18/02/2022
Idioma:
Español
Netmaker es una plataforma para crear y administrara redes virtuales superpuestas usando WireGuard. En versiones anteriores a 0.8.5, 0.9.4 y 010.0, se presenta clave criptográfica embebida en el código base que puede ser explotada para ejecutar comandos de administrador en un servidor remoto si el explotador conoce la dirección y el nombre de usuario del administrador. Esto afecta al componente del servidor (netmaker), y no a los clientes. Esto ha sido parcheado en Netmaker v0.8.5, v0.9.4 y v0.10.0. Actualmente no se presentan medidas de mitigación conocidas
Gravedad CVSS v3.1: ALTA
Última modificación:
08/03/2022

Vulnerabilidad en awful-salmonella-tar (CVE-2022-25358)
Fecha de publicación:
18/02/2022
Idioma:
Español
Se presenta una vulnerabilidad en el manejo de rutas de awful-salmonella-tar versiones anteriores a 0.0.4. Los atacantes sólo pueden listar directorios (no leer archivos). Esto ocurre porque el predicado safe-path? no es usado para los directorios
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/03/2022

Vulnerabilidad en Pexip Infinity (CVE-2022-23228)
Fecha de publicación:
18/02/2022
Idioma:
Español
Pexip Infinity versiones anteriores a 27.0, presenta una comprobación de entrada WebRTC inapropiada. Un atacante remoto no autenticado puede usar excesivos recursos, causando temporalmente una denegación de servicio
Gravedad CVSS v3.1: ALTA
Última modificación:
02/03/2022
Suscribirse a Vulnerabilidades