Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el manejo de las peticiones en el flujo de MP3 en Live555 (CVE-2021-38380)

Fecha de publicación:

10/08/2021

Idioma:

Español

Live555 versiones hasta 1.08, no maneja apropiadamente grandes peticiones para el mismo flujo de MP3, conllevando a una recursión y una lectura excesiva del búfer en la región stack de la memoria. Un atacante puede aprovechar esto para lanzar un ataque DoS

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en un código de estado HTTP 403 en Serverless Offline (CVE-2021-38384)

Fecha de publicación:

10/08/2021

Idioma:

Español

Serverless Offline versión 8.0.0, devuelve un código de estado HTTP 403 para una ruta que presenta un carácter / al final, lo que podría causar a un desarrollador implementar un control de acceso incorrecto, porque el comportamiento real dentro del entorno de Amazon AWS es un código de estado HTTP 200 (es decir, posiblemente mayores permisos de los esperados)

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/07/2022

Vulnerabilidad en el archivo misc.c en la función net_bind() en OwnTone (CVE-2021-38383)

Fecha de publicación:

10/08/2021

Idioma:

Español

OwnTone (también se conoce como owntone-server) versiones hasta 28.1, presenta un uso de la memoria previamente liberada en la función net_bind() en el archivo misc.c

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/02/2026

Vulnerabilidad en yii2 (CVE-2021-3692)

Fecha de publicación:

10/08/2021

Idioma:

Español

yii2 es vulnerable a un Uso de Algoritmo Predecible en el Generador de Números Aleatorios

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/04/2022

Vulnerabilidad en el panel de administración de Ctparental (CVE-2021-37366)

Fecha de publicación:

10/08/2021

Idioma:

Español

CTparental versiones anteriores a 4.45.03, es vulnerable a un ataque de tipo cross-site request forgery (CSRF) en el panel de administración de CTparental. Al combinar un ataque de tipo CSRF con uno de tipo XSS, un atacante puede engañar al administrador para que haga clic en un enlace que cancele el filtrado para todos los usuarios estándar

Gravedad CVSS v3.1: ALTA

Última modificación:

13/08/2021

Vulnerabilidad en el archivo bl_categires_help.php en el panel de administración de CTparental (CVE-2021-37365)

Fecha de publicación:

10/08/2021

Idioma:

Español

CTparental versiones anteriores a 4.45.03, es vulnerable a un ataque de tipo cross-site scripting (XSS) en el panel de administración de CTparental. En el archivo bl_categires_help.php, la variable "categories" se asigna con el contenido de la cadena de consulta param "cat" sin sanear o codificar, permitiendo a un atacante inyectar código malicioso en la página web de salida

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/08/2021

Vulnerabilidad en el archivo "bl_categories_help.php" en el panel de administración de CTparental (CVE-2021-37367)

Fecha de publicación:

10/08/2021

Idioma:

Español

CTparental versiones anteriores a 4.45.07, está afectado por una vulnerabilidad de ejecución de código en el panel de administración de CTparental. Debido a que el archivo "bl_categories_help.php" es vulnerable a un salto de directorio, un atacante puede crear un archivo que contenga scripts y ejecutar comando arbitrario

Gravedad CVSS v3.1: ALTA

Última modificación:

13/08/2021

Vulnerabilidad en la funcionalidad TypoScript HTMLparser en TYPO3 (CVE-2021-32768)

Fecha de publicación:

10/08/2021

Idioma:

Español

TYPO3 es un sistema de administrador de contenidos web de código abierto basado en PHP y publicado bajo la licencia GNU GPL. En las versiones afectadas que no analizan, sanean y codifican apropiadamente el contenido de texto enriquecido malicioso, el proceso de representación del contenido en el frontend del sitio web es vulnerable a un ataque de tipo cross-site scripting. Las instrucciones de renderización correspondientes por medio de la funcionalidad TypoScript HTMLparser no considera todas las combinaciones de etiquetas y atributos HTML potencialmente maliciosas por defecto. En los escenarios predeterminados, se necesita una cuenta de usuario de backend válida para explotar esta vulnerabilidad. En caso de que los plugins personalizados usados en el frontend del sitio web acepten y reflejen el contenido de texto enriquecido enviado por usuarios, no es requerida una autenticación. Actualizar a versiones de TYPO3 7.6.53 ELTS, 8.7.42 ELTS, 9.5.29, 10.4.19, 11.3.2 que corrigen el problema descrito

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/08/2021

Vulnerabilidad en una clave privada de Elliptic Curve Cryptography (ECC) en Nuvoton Trusted Platform Module (CVE-2020-25082)

Fecha de publicación:

10/08/2021

Idioma:

Español

Un atacante con acceso físico a Nuvoton Trusted Platform Module (NPCT75x versiones 7.2.x anteriores a 7.2.2.0) podría extraer una clave privada de Elliptic Curve Cryptography (ECC) por medio de un ataque de canal lateral contra ECDSA, debido a una Discrepancia de Tiempo Observable

Gravedad CVSS v3.1: BAJA

Última modificación:

17/08/2021

Vulnerabilidad en un archivo zip en Nim-lang (CVE-2020-23171)

Fecha de publicación:

10/08/2021

Idioma:

Español

Una vulnerabilidad en todas las versiones de Nim-lang permite a atacantes no autenticados escribir archivos en directorios arbitrarios por medio de un archivo zip diseñado con caracteres de barra de puntos incluidos en el nombre del archivo diseñado

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/08/2021

Vulnerabilidad en las rutas de los archivos .zip en Kuba (CVE-2020-23172)

Fecha de publicación:

10/08/2021

Idioma:

Español

Una vulnerabilidad en todas las versiones de Kuba permite a atacantes sobrescribir archivos arbitrarios en directorios arbitrarios con archivos Zip diseñados, debido a una comprobación inapropiada de las rutas de los archivos .zip

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/08/2021

Vulnerabilidad en una URL en un componente en SAP NetWeaver Knowledge Management (CVE-2021-33707)

Fecha de publicación:

10/08/2021

Idioma:

Español

SAP NetWeaver Knowledge Management, permite a atacantes remotos redirigir a usuarios a sitios web arbitrarios y conducir ataques de phishing por medio de una URL almacenada en un componente. Esto podría permitir al atacante comprometer la confidencialidad e integridad del usuario

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/01/2022

Suscribirse a Vulnerabilidades