Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la función PurchaseReceiptPacket::_read en Mojang Bedrock Dedicated Server (CVE-2022-23884)

Fecha de publicación:

28/03/2022

Idioma:

Español

Mojang Bedrock Dedicated Server versión 1.18.2, está afectado por un desbordamiento de enteros conllevando a una omisión de comprobación de límites causado por la función PurchaseReceiptPacket::_read (deserializador de paquetes)

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

04/04/2022

Vulnerabilidad en el parámetro data[performredirect] en el archivo SpotPage_login.php de Spotweb (CVE-2021-43725)

Fecha de publicación:

28/03/2022

Idioma:

Español

Se presenta una vulnerabilidad de tipo Cross Site Scripting (XSS) en el archivo SpotPage_login.php de Spotweb versiones 1.5.1 y posteriores, que permite a atacantes remotos inyectar script web o HTML arbitrario por medio del parámetro data[performredirect]

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/03/2022

Vulnerabilidad en USG/ZyWALL de Zyxel (CVE-2022-0342)

Fecha de publicación:

28/03/2022

Idioma:

Español

Una vulnerabilidad de omisión de autenticación en el programa CGI de USG/ZyWALL de Zyxel versiones de firmware de las series 4.20 a 4.70, las versiones de firmware de la serie USG FLEX 4.50 a 5.20, las versiones de firmware de la serie ATP 4.32 a 5.20, las versiones de firmware de la serie VPN 4.30 a 5.20 y las versiones de firmware de la serie NSG V1.20 a V1.33 Parche 4, que podría permitir a un atacante omitir la autenticación web y obtener acceso administrativo al dispositivo

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

04/04/2022

Vulnerabilidad en el archivo \App\Manage\Controller\BannerController.class.php en TuziCMS (CVE-2022-23882)

Fecha de publicación:

28/03/2022

Idioma:

Español

TuziCMS versión 2.0.6, está afectado por una inyección SQL en el archivo \App\Manage\Controller\BannerController.class.php

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

31/03/2022

Vulnerabilidad en una enumeración de nombres de usuario en la interfaz "/api /v3/auth" n EMQ X Dashboard (CVE-2021-46434)

Fecha de publicación:

28/03/2022

Idioma:

Español

** NO SOPORTADO CUANDO SE ASIGNÓ ** EMQ X Dashboard versión V3.0.0, está afectado por una enumeración de nombres de usuario en la interfaz "/api /v3/auth". Cuando un usuario inicia sesión, la aplicación devuelve diferentes resultados dependiendo de si la cuenta es correcta, lo que permitía a un atacante determinar si un nombre de usuario dado era válido

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/08/2024

Vulnerabilidad en el archivo fenom/src/Fenom/Template.php en fenom (CVE-2021-46433)

Fecha de publicación:

28/03/2022

Idioma:

Español

En fenom versiones 2.12.1 y anteriores, se presenta una forma en el archivo fenom/src/Fenom/Template.php de omitir el sandbox para ejecutar código PHP arbitrario cuando disable_native_funcs es true

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

04/04/2022

Vulnerabilidad en Apache APISIX (CVE-2022-25757)

Fecha de publicación:

28/03/2022

Idioma:

Español

En Apache APISIX versiones anteriores a 2.13.0, cuando es decodificado JSON con claves duplicadas, lua-cjson elegirá como resultado el último valor ocurrido. Al pasar un JSON con una clave duplicada, el atacante puede omitir la comprobación body_schema en el plugin de comprobación de peticiones. Por ejemplo, "{"string_payload": "bad", "string_payload": "good"}" puede usarse para ocultar la entrada "bad". Los sistemas que cumplen las tres condiciones siguientes están afectados por este ataque: 1. usar la comprobación body_schema en el plugin de comprobación de peticiones 2. la aplicación upstream usa una librería JSON especial que elige el primer valor ocurrido, como jsoniter o gojay 3. la aplicación upstream ya no comprueba la entrada. La solución en APISIX es recodificar la entrada JSON comprobada en el cuerpo de la petición en el lado de APISIX. Una vulnerabilidad de comprobación de entrada inapropiada en __COMPONENT__ de Apache APISIX permite a un atacante __IMPACT__. Este problema afecta a Apache APISIX versiones 2.12.1 y anteriores

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

04/04/2022

Vulnerabilidad en el archivo drivers/hid/hid-elo.c en el kernel de Linux (CVE-2022-27950)

Fecha de publicación:

28/03/2022

Idioma:

Español

En el archivo drivers/hid/hid-elo.c en el kernel de Linux versiones anteriores a 5.16.11, se presenta una pérdida de memoria para una determinada condición de error hid_parse

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/04/2022

Vulnerabilidad en el archivo \user\controller\shop.php en EyouCMS (CVE-2022-26273)

Fecha de publicación:

28/03/2022

Idioma:

Español

Se ha detectado que EyouCMS versión v1.5.4, carece de filtrado de parámetros en el archivo \user\controller\shop.php, conllevando a vulnerabilidades en la lógica de pago

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

31/03/2022

Vulnerabilidad en Pillow (CVE-2022-24303)

Fecha de publicación:

28/03/2022

Idioma:

Español

Pillow versiones anteriores a 9.0.1, permite a atacantes eliminar archivos porque los espacios en los nombres de rutas temporales son manejados inapropiadamente

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/11/2023

Vulnerabilidad en el parámetro idu en el archivo plugins/ramo/ramoapirest.php/getOutdated en el plugin de Ramo para GLPI (CVE-2021-44617)

Fecha de publicación:

28/03/2022

Idioma:

Español

Se presenta una vulnerabilidad de inyección SQL en el plugin de Ramo para GLPI versión 9.4.6, por medio del parámetro idu en el archivo plugins/ramo/ramoapirest.php/getOutdated

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

30/03/2022

Vulnerabilidad en las aplicaciones cliente en 3CX en Windows, la aplicación 3CX para iOS, y la aplicación 3CX para Android (CVE-2021-45490)

Fecha de publicación:

28/03/2022

Idioma:

Español

Las aplicaciones cliente en 3CX en Windows, la aplicación 3CX para iOS, y la aplicación 3CX para Android versiones hasta 17-03-2022 carecen de comprobación de certificado SSL

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

04/04/2022

Suscribirse a Vulnerabilidades