Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en los registros de construcción en Woodpecker (CVE-2022-29947)

Fecha de publicación:
29/04/2022
Idioma:
Español
Woodpecker versiones anteriores a 0.15.1, permite un ataque de tipo XSS por medio de los registros de construcción porque web/src/components/repo/build/BuildLog.vue carece de escapes
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/05/2022

Vulnerabilidad en el paquete @yaireo/tagify (CVE-2022-25854)

Fecha de publicación:
29/04/2022
Idioma:
Español
Esto afecta al paquete @yaireo/tagify versiones anteriores a 4.9.8. El paquete es usado para renderizar los componentes de la interfaz de usuario dentro de los campos de entrada o de texto, y un atacante puede pasarle un valor de marcador de posición malicioso para disparar una carga útil de tipo XSS
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2022

Vulnerabilidad en el protocolo AeroScope en los dispositivos de drones de DJI (CVE-2022-29945)

Fecha de publicación:
29/04/2022
Idioma:
Español
Los dispositivos de drones de DJI vendidos en 2017 hasta 2022, transmiten información no cifrada sobre la ubicación física del operador del dron por medio del protocolo AeroScope
Gravedad CVSS v3.1: ALTA
Última modificación:
08/08/2023

Vulnerabilidad en el repositorio de GitHub erudika/scoold (CVE-2022-1543)

Fecha de publicación:
29/04/2022
Idioma:
Español
Un Manejo Inapropiado del Parámetro Length en el repositorio de GitHub erudika/scoold versiones anteriores a 1.49.4. Cuando el tamaño del texto es lo suficientemente grande, el servicio resulta en una interrupción momentánea en un entorno de producción. Esto puede conllevar a una corrupción de memoria en el servidor
Gravedad CVSS v3.1: ALTA
Última modificación:
11/05/2022

Vulnerabilidad en USU Oracle Optimization (CVE-2022-29934)

Fecha de publicación:
29/04/2022
Idioma:
Español
USU Oracle Optimization versiones anteriores a 5.17.5, carece de autenticación Polkit, lo que permite a usuarios de smartcollector conseguir acceso root por medio de pkexec. NOTA: este no es un producto de Oracle Corporation
Gravedad CVSS v3.1: ALTA
Última modificación:
08/08/2023

Vulnerabilidad en la optimización de Oracle USU (CVE-2022-29935)

Fecha de publicación:
29/04/2022
Idioma:
Español
La optimización de Oracle USU versiones anteriores a 5.17.5, permite a atacantes detectar las credenciales de quantum por medio de una descarga del instalador de agentes. NOTA: este no es un producto de Oracle Corporation
Gravedad CVSS v3.1: ALTA
Última modificación:
08/08/2023

Vulnerabilidad en la optimización de Oracle USU (CVE-2022-29936)

Fecha de publicación:
29/04/2022
Idioma:
Español
La optimización de Oracle USU versiones anteriores a 5.17, permite a usuarios autenticados de quantum lograr una ejecución de código remota debido a una deserialización de Java /v2/quantum/save-data-upload-big-file. NOTA: este no es un producto de Oracle Corporation
Gravedad CVSS v3.1: ALTA
Última modificación:
11/05/2022

Vulnerabilidad en la optimización de Oracle USU (CVE-2022-29937)

Fecha de publicación:
29/04/2022
Idioma:
Español
La optimización de Oracle USU versiones anteriores a 5.17.5, permite a los usuarios autenticados de DataCollection conseguir el acceso al root del agente porque algunos comandos comunes del SO están bloqueados pero (por ejemplo) un comando del SO para la decodificación de base64 no está bloqueado. NOTA: este no es un producto de Oracle Corporation
Gravedad CVSS v3.1: ALTA
Última modificación:
11/05/2022

Vulnerabilidad en el archivo MediaServer.exe en ALLMediaServer (CVE-2022-28480)

Fecha de publicación:
29/04/2022
Idioma:
Español
ALLMediaServer versión 1.6, es vulnerable a un desbordamiento del búfer por medio del archivo MediaServer.exe
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/05/2022

Vulnerabilidad en el plugin Subscribe To Comments Reloaded de WPKube en WordPress (CVE-2022-29414)

Fecha de publicación:
29/04/2022
Idioma:
Español
Múltiples (13x) vulnerabilidades de tipo Cross-Site Request Forgery (CSRF) en el plugin Subscribe To Comments Reloaded de WPKube versiones anteriores a 211130 incluyéndola en WordPress, permite a atacantes limpiar el archivo de registro, descargar el archivo de información del sistema, la configuración del sistema del plugin, la configuración de las opciones del plugin, generar una nueva clave, restablecer todas las opciones, cambiar la configuración de las notificaciones, la configuración de la página de administración, la configuración del formulario de comentarios, administrar las suscripciones ) configuración de actualización masiva, administrar las suscripciones ) añadir una nueva suscripción, actualizar la suscripción, eliminar la suscripción
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/05/2022

Vulnerabilidad en una petición GET en Small HTTP Server (CVE-2022-28994)

Fecha de publicación:
29/04/2022
Idioma:
Español
Small HTTP Server versión 3.06, sufre una vulnerabilidad de desbordamiento de búfer remoto por medio de una petición GET larga
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/05/2022

Vulnerabilidad en el plugin Rara One Click Demo Import en WordPress (CVE-2022-29451)

Fecha de publicación:
29/04/2022
Idioma:
Español
Una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) conllevando a una vulnerabilidad de carga de archivos arbitraria en el plugin Rara One Click Demo Import versiones anteriores a 1.2.9 en WordPress, permite a atacantes engañar a los usuarios administradores con sesión iniciada para que suban archivos peligrosos al directorio /wp-content/uploads/
Gravedad CVSS v3.1: ALTA
Última modificación:
11/05/2022