Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la gema CSV-Safe (CVE-2022-28481)

Fecha de publicación:
01/05/2022
Idioma:
Español
La gema CSV-Safe versiones anteriores a 3.0.0, no filtra los caracteres especiales que podrían desencadenar una inyección de CSV
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
09/05/2022

Vulnerabilidad en Shopizer (CVE-2022-23060)

Fecha de publicación:
01/05/2022
Idioma:
Español
Se presenta una vulnerabilidad de tipo Cross Site Scripting (XSS) almacenada en Shopizer versiones 2.0 hasta 2.17.0, donde un usuario privilegiado (atacante) puede inyectar JavaScript malicioso en el nombre del archivo en la pestaña "Manage files"
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/05/2022

Vulnerabilidad en Shopizer (CVE-2022-23061)

Fecha de publicación:
01/05/2022
Idioma:
Español
En Shopizer versiones 2.0 a 2.17.0, un administrador normal puede eliminar permanentemente a un superadministrador (aunque esto no puede ocurrir según la documentación) por medio de la vulnerabilidad Insecure Direct Object Reference (IDOR)
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/05/2022

Vulnerabilidad en el repositorio de GitHub luyadev/yii-helpers (CVE-2022-1544)

Fecha de publicación:
01/05/2022
Idioma:
Español
Una Inyección de fórmulas/inyección de CSV debido a una Neutralización Inapropiada de elementos de fórmulas en el archivo CSV en el repositorio de GitHub luyadev/yii-helpers versiones anteriores a 1.2.1. Una explotación con éxito puede conllevar a impactos como una inyección de comandos del lado del cliente, una ejecución de código o una exfiltración remota de datos confidenciales contenidos
Gravedad CVSS v3.1: ALTA
Última modificación:
12/05/2022

Vulnerabilidad en PingID Desktop (CVE-2021-42001)

Fecha de publicación:
30/04/2022
Idioma:
Español
PingID Desktop versiones anteriores a 1.7.3, presenta una configuración errónea en las bibliotecas de cifrado que puede conllevar a una exposición de datos confidenciales. Un atacante capaz de explotar esta vulnerabilidad puede ser capaz de completar con éxito un desafío MFA por medio de OTP
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/07/2023

Vulnerabilidad en PingID Windows Login (CVE-2021-41992)

Fecha de publicación:
30/04/2022
Idioma:
Español
Una configuración errónea de RSA en PingID Windows Login versiones anteriores a 2.7, es vulnerable a ataques de diccionario precalculado, conllevando a una omisión de MFA sin conexión
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/09/2022

Vulnerabilidad en la aplicación PingID para Android (CVE-2021-41993)

Fecha de publicación:
30/04/2022
Idioma:
Español
Una configuración errónea de RSA en la aplicación PingID para Android versiones anteriores a 1.19, es vulnerable a ataques de diccionario precalculado, conllevando a una omisión de MFA sin conexión cuando es usado PingID Windows Login
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/05/2022

Vulnerabilidad en la aplicación PingID para iOS (CVE-2021-41994)

Fecha de publicación:
30/04/2022
Idioma:
Español
Una configuración errónea de RSA en la aplicación PingID para iOS versiones anteriores a 1.19, es vulnerable a ataques de diccionario precalculado, conllevando a una omisión de MFA sin conexión cuando es usado PingID Windows Login
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/05/2022

Vulnerabilidad en la extensión SecurePoll en MediaWiki (CVE-2022-28323)

Fecha de publicación:
30/04/2022
Idioma:
Español
Se ha detectado un problema en MediaWiki versiones hasta 1.37.2. La extensión SecurePoll permite un filtrado porque es admitida una ordenación por marca de tiempo
Gravedad CVSS v3.1: ALTA
Última modificación:
10/05/2022

Vulnerabilidad en varios componentes de Apache NiFi (CVE-2022-29265)

Fecha de publicación:
30/04/2022
Idioma:
Español
Varios componentes de Apache NiFi versiones 0.0.1 a 1.16.0, no restringen las referencias de tipo XML External Entity en la configuración por defecto. El servicio Standard Content Viewer intenta resolver las referencias a Entidades Externas XML cuando son visualizados archivos XML formateados. Los siguientes procesadores intentan resolver las referencias a entidades externas XML cuando están configurados con los valores predeterminados de las propiedades: - EvaluateXPath - EvaluateXQuery - ValidateXml Las configuraciones de flujo de Apache NiFi que incluyen estos procesadores son vulnerables a documentos XML maliciosos que contienen Declaraciones de Tipo de Documento con referencias a Entidades Externas XML. La resolución deshabilita las Declaraciones de Tipo de Documento en la configuración por defecto de estos Procesadores, y deshabilita la resolución de Entidades Externas XML en los servicios estándar
Gravedad CVSS v3.1: ALTA
Última modificación:
10/05/2022

Vulnerabilidad en el archivo static_compressed_inmemory_website_callback.c en Glewlwyd (CVE-2022-29967)

Fecha de publicación:
29/04/2022
Idioma:
Español
el archivo static_compressed_inmemory_website_callback.c en Glewlwyd versiones hasta 2.6.2 permite un salto de directorios
Gravedad CVSS v3.1: ALTA
Última modificación:
10/05/2022

Vulnerabilidad en la configuración de OpenSSL en NVIDIA Omniverse Nucleus y Cache (CVE-2022-28198)

Fecha de publicación:
29/04/2022
Idioma:
Español
NVIDIA Omniverse Nucleus y Cache contienen una vulnerabilidad en su configuración de OpenSSL, donde un atacante con acceso físico al sistema puede causar la ejecución de código arbitrario que puede impactar en la confidencialidad, integridad y disponibilidad
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/05/2022