Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la petición HTTP GET en la función upload_certificate del binario sbin/httpd en múltiples dispositivos D-link (CVE-2021-28839)

Fecha de publicación:

10/08/2021

Idioma:

Español

Una vulnerabilidad de Desreferencia de Puntero Null se presenta en D-Link DAP-2310 versión 2.07.RC031, DAP-2330 versión 1.07.RC028, DAP-2360 versión 2.07.RC043, DAP-2553 versión 3.06.RC027, DAP-2660 versión 1. 13.RC074, DAP-2690 versión 3.16.RC100, DAP-2695 versión 1.17.RC063, DAP-3320 versión 1.01.RC014 y DAP-3662 versión 1.01.RC022, en la función upload_certificate del binario sbin/httpd. Cuando el binario maneja la petición HTTP GET específica, el strrchr en la función upload_certificate tomaría NULL como primer argumento, e incurriría en la vulnerabilidad de Desreferencia de Puntero Null

Gravedad CVSS v3.1: ALTA

Última modificación:

17/08/2021

Vulnerabilidad en la función upload_config del binario sbin/httpd en múltiples dispositivos D-link (CVE-2021-28840)

Fecha de publicación:

10/08/2021

Idioma:

Español

Se presenta una vulnerabilidad de Desreferencia de Puntero Null en D-Link DAP-2310 versión 2.07.RC031, DAP-2330 versión 1.07.RC028, DAP-2360 versión 2.07.RC043, DAP-2553 versión 3.06.RC027, DAP-2660 versión 1. 13.RC074, DAP-2690 versión 3.16.RC100, DAP-2695 versión 1.17.RC063, DAP-3320 versión 1.01.RC014 y DAP-3662 versión 1.01.RC022, en la función upload_config del binario sbin/httpd. Cuando el binario maneja la petición HTTP GET específica, el contenido en la variable upload_file es NULL en la función upload_config entonces el strncasecmp tomaría NULL como primer argumento, e incurriría en la vulnerabilidad de Desreferencia de Puntero Null

Gravedad CVSS v3.1: ALTA

Última modificación:

17/08/2021

Vulnerabilidad en el módulo de extensión set_user para PostgreSQL (CVE-2021-38140)

Fecha de publicación:

10/08/2021

Idioma:

Español

El módulo de extensión set_user versiones anteriores a 2.0.1, para PostgreSQL, permite una potencial escalada de privilegios usando RESET SESSION AUTHORIZATION después de la función set_user()

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/08/2021

Vulnerabilidad en los archivos Matroska y Ogg en Live555 (CVE-2021-38382)

Fecha de publicación:

10/08/2021

Idioma:

Español

Live555 versiones hasta 1.08, no maneja apropiadamente los archivos Matroska y Ogg. El envío de dos comandos RTSP SETUP sucesivos para la misma pista causa un Uso de la Memoria previamente Liberada y un bloqueo del demonio

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en los archivos MPEG-1 o 2 en Live555 (CVE-2021-38381)

Fecha de publicación:

10/08/2021

Idioma:

Español

Live555 versiones hasta 1.08, no maneja apropiadamente los archivos MPEG-1 o 2. El envío de dos comandos RTSP SETUP sucesivos para la misma pista provoca un Uso de la Memoria previamente Liberada y un bloqueo del demonio

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en el manejo de las peticiones en el flujo de MP3 en Live555 (CVE-2021-38380)

Fecha de publicación:

10/08/2021

Idioma:

Español

Live555 versiones hasta 1.08, no maneja apropiadamente grandes peticiones para el mismo flujo de MP3, conllevando a una recursión y una lectura excesiva del búfer en la región stack de la memoria. Un atacante puede aprovechar esto para lanzar un ataque DoS

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en un código de estado HTTP 403 en Serverless Offline (CVE-2021-38384)

Fecha de publicación:

10/08/2021

Idioma:

Español

Serverless Offline versión 8.0.0, devuelve un código de estado HTTP 403 para una ruta que presenta un carácter / al final, lo que podría causar a un desarrollador implementar un control de acceso incorrecto, porque el comportamiento real dentro del entorno de Amazon AWS es un código de estado HTTP 200 (es decir, posiblemente mayores permisos de los esperados)

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/07/2022

Vulnerabilidad en el archivo misc.c en la función net_bind() en OwnTone (CVE-2021-38383)

Fecha de publicación:

10/08/2021

Idioma:

Español

OwnTone (también se conoce como owntone-server) versiones hasta 28.1, presenta un uso de la memoria previamente liberada en la función net_bind() en el archivo misc.c

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/02/2026

Vulnerabilidad en yii2 (CVE-2021-3692)

Fecha de publicación:

10/08/2021

Idioma:

Español

yii2 es vulnerable a un Uso de Algoritmo Predecible en el Generador de Números Aleatorios

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/04/2022

Vulnerabilidad en el panel de administración de Ctparental (CVE-2021-37366)

Fecha de publicación:

10/08/2021

Idioma:

Español

CTparental versiones anteriores a 4.45.03, es vulnerable a un ataque de tipo cross-site request forgery (CSRF) en el panel de administración de CTparental. Al combinar un ataque de tipo CSRF con uno de tipo XSS, un atacante puede engañar al administrador para que haga clic en un enlace que cancele el filtrado para todos los usuarios estándar

Gravedad CVSS v3.1: ALTA

Última modificación:

13/08/2021

Vulnerabilidad en el archivo bl_categires_help.php en el panel de administración de CTparental (CVE-2021-37365)

Fecha de publicación:

10/08/2021

Idioma:

Español

CTparental versiones anteriores a 4.45.03, es vulnerable a un ataque de tipo cross-site scripting (XSS) en el panel de administración de CTparental. En el archivo bl_categires_help.php, la variable "categories" se asigna con el contenido de la cadena de consulta param "cat" sin sanear o codificar, permitiendo a un atacante inyectar código malicioso en la página web de salida

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/08/2021

Vulnerabilidad en el archivo "bl_categories_help.php" en el panel de administración de CTparental (CVE-2021-37367)

Fecha de publicación:

10/08/2021

Idioma:

Español

CTparental versiones anteriores a 4.45.07, está afectado por una vulnerabilidad de ejecución de código en el panel de administración de CTparental. Debido a que el archivo "bl_categories_help.php" es vulnerable a un salto de directorio, un atacante puede crear un archivo que contenga scripts y ejecutar comando arbitrario

Gravedad CVSS v3.1: ALTA

Última modificación:

13/08/2021

Suscribirse a Vulnerabilidades