Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Podman (CVE-2022-1227)

Fecha de publicación:

29/04/2022

Idioma:

Español

Se ha encontrado un fallo de escalada de privilegios en Podman. Este fallo permite a un atacante publicar una imagen maliciosa en un registro público. Una vez que esta imagen es descargada por una víctima potencial, la vulnerabilidad es desencadenada después de que un usuario ejecute el comando "podman top". Esta acción da al atacante acceso al sistema de archivos del host, conllevando a una divulgación de información o la denegación de servicio

Gravedad CVSS v3.1: ALTA

Última modificación:

28/06/2024

Vulnerabilidad en Elcomplus SmartPTT SCADA Server (CVE-2021-43938)

Fecha de publicación:

29/04/2022

Idioma:

Español

Elcomplus SmartPTT SCADA Server es vulnerable a que un usuario no autenticado pueda solicitar varios archivos del servidor sin ninguna autenticación o autorización

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

25/07/2022

Vulnerabilidad en el archivo cms_common.c en la función cms_set_pw_data() de pesign (CVE-2022-1249)

Fecha de publicación:

29/04/2022

Idioma:

Español

Se ha encontrado un fallo de desreferencia de puntero NULL en la función cms_set_pw_data() del archivo cms_common.c de pesign. La función falla al manejar la invocación de NULL pwdata desde el archivo daemon.c, lo que conlleva a una desreferencia de NULL explícita y un bloqueo en todos los intentos de demonización de pesign

Gravedad CVSS v3.1: BAJA

Última modificación:

11/05/2022

Vulnerabilidad en Automation360 (CVE-2022-29856)

Fecha de publicación:

29/04/2022

Idioma:

Español

Una clave criptográfica embebida en Automation360 versión 22, permite a un atacante descifrar paquetes RPA exportados

Gravedad CVSS v3.1: ALTA

Última modificación:

11/05/2022

Vulnerabilidad en el archivo linux/net/netfilter/nf_tables_api.c del subsistema netfilter en el kernel de Linux (CVE-2022-1015)

Fecha de publicación:

29/04/2022

Idioma:

Español

Se ha encontrado un fallo en el kernel de Linux en el archivo linux/net/netfilter/nf_tables_api.c del subsistema netfilter. Este fallo permite a un usuario local causar un problema de escritura fuera de límites

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/02/2023

Vulnerabilidad en IBM UrbanCode Deploy (UCD) (CVE-2021-39082)

Fecha de publicación:

29/04/2022

Idioma:

Español

IBM UrbanCode Deploy (UCD) versión 7.1.1.2, usa algoritmos criptográficos más débiles de lo esperado que podrían permitir a un atacante descifrar información altamente confidencial

Gravedad CVSS v3.1: ALTA

Última modificación:

11/05/2022

Vulnerabilidad en la aplicación web Elcomplus SmartPTT SCADA Server (CVE-2021-43937)

Fecha de publicación:

29/04/2022

Idioma:

Español

La aplicación web Elcomplus SmartPTT SCADA Server no comprueba, o no puede comprobar suficientemente, si el usuario que ha enviado la petición ha proporcionado intencionadamente una petición bien formada, válida y coherente

Gravedad CVSS v3.1: ALTA

Última modificación:

11/05/2022

Vulnerabilidad en Red Planet Laundry Management System (CVE-2022-28452)

Fecha de publicación:

29/04/2022

Idioma:

Español

Red Planet Laundry Management System versión 1.0, es vulnerable a una inyección SQL

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

28/10/2022

Vulnerabilidad en Piano LED Visualizer (CVE-2022-24900)

Fecha de publicación:

29/04/2022

Idioma:

Español

Piano LED Visualizer es un software que permite que las luces LED sean iluminadas mientras una persona toca un piano conectado a un ordenador. La versión 1.3 y anteriores son vulnerables a un ataque de salto de ruta. La llamada "os.path.join" no es segura para su uso con entradas no confiables. Cuando la llamada "os.path.join" encuentra una ruta absoluta, ignora todos los parámetros que ha encontrado hasta ese momento y comienza a trabajar con la nueva ruta absoluta. Dado que el parámetro "malicioso" representa una ruta absoluta, el resultado de "os.path.join" ignora completamente el directorio estático. Por lo tanto, la entrada no confiable que se pasa por medio de la llamada de "os.path.join" a "flask.send_file" puede conllevar a ataques de salto de ruta. Un parche con una corrección está disponible en la rama "master" del repositorio GitHub. Esto también puede corregirse al impedir el flujo de datos no confiables a la función vulnerable "send_file". En caso de que la lógica de la aplicación necesite este comportamiento, puede usarse "flask.safe_join" para unir rutas no confiables o sustituir las llamadas a "flask.send_file" por llamadas a "flask.send_from_directory"

Gravedad CVSS v3.1: ALTA

Última modificación:

23/06/2023

Vulnerabilidad en el plugin "contact us" para Subrion CMS (CVE-2021-41948)

Fecha de publicación:

29/04/2022

Idioma:

Español

Se presenta una vulnerabilidad de tipo cross-site scripting (XSS) en el plugin "contact us" para Subrion CMS versiones anteriores a 4.2.1 incluyéndola, por medio de "List of subjects"

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/05/2022

Vulnerabilidad en automad (CVE-2022-1536)

Fecha de publicación:

29/04/2022

Idioma:

Español

Se ha encontrado una vulnerabilidad en automad versiones hasta 1.10.9 y ha sido clasificado como problemática. Esta vulnerabilidad afecta al Dashboard. La manipulación del argumento title con el input Home(/title)(script)alert("home")(/script)(title) conlleva a un ataque de tipo cross site scripting. El ataque puede iniciarse de forma remota pero requiere una autenticación. Los detalles de la explotación han sido divulgados al público y pueden ser usados

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en Wondershare Dr. Fone (CVE-2021-44595)

Fecha de publicación:

29/04/2022

Idioma:

Español

Wondershare Dr. Fone última versión a partir del 06-12-2021, es vulnerable a un Control de Acceso Incorrecto. Un usuario normal puede enviar paquetes diseñados manualmente al archivo ElevationService.exe y ejecutar código arbitrario sin ninguna comprobación con privilegios SYSTEM

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Suscribirse a Vulnerabilidades