Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en OpenShift Dedicated (CVE-2024-25132)

Fecha de publicación:
19/03/2025
Idioma:
Español
Se detectó una falla en el componente controlador de hibernación de Hive de OpenShift Dedicated. El recurso ClusterDeployment.hive.openshift.io/v1 puede crearse con el campo spec.installed establecido en verdadero, independientemente del estado de la instalación, y con un intervalo de tiempo positivo para el valor spec.hibernateAfter. Si también se crea un recurso ClusterSync.hiveinternal.openshift.io/v1alpha1, el controlador de hibernación de Hive entrará en el bucle de reconciliación, lo que provocará un pánico al acceder a un campo inexistente en la sección de estado de ClusterDeployment, lo que resultará en una denegación de servicio.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/03/2025

Vulnerabilidad en Enterprise Protection (CVE-2025-0431)

Fecha de publicación:
19/03/2025
Idioma:
Español
Enterprise Protection contiene una vulnerabilidad en la reescritura de URL que permite a un atacante remoto no autenticado enviar un correo electrónico que elude las protecciones de URL, lo que afecta la integridad del correo electrónico del destinatario. Esto se debe a un filtrado incorrecto de barras invertidas en las URL y afecta a todas las versiones de 8.21, 8.20 y 8.18 anteriores a la versión 8.21.0 (parche 5115), la versión 8.20.6 (parche 5114) y la versión 8.18.6 (parche 5113), respectivamente.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/03/2025

Vulnerabilidad en Tenda AC8 V16.03.34.06 (CVE-2025-29118)

Fecha de publicación:
19/03/2025
Idioma:
Español
Se descubrió que Tenda AC8 V16.03.34.06 contiene un desbordamiento de pila a través del parámetro src en la función sub_47D878.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/04/2025

Vulnerabilidad en Adobe Experience Manager (CVE-2024-53967)

Fecha de publicación:
19/03/2025
Idioma:
Español
Las versiones 6.5.21 y anteriores de Adobe Experience Manager se ven afectadas por una vulnerabilidad de Cross-Site Scripting (XSS) basada en DOM que podría explotarse para ejecutar código arbitrario en el contexto de la sesión del navegador de la víctima. Al manipular el entorno DOM en el navegador de la víctima, un atacante con pocos privilegios puede inyectar scripts maliciosos que son ejecutados por dicho navegador. Para explotar este problema, se requiere la interacción del usuario, generalmente siguiendo un enlace malicioso.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/03/2025

Vulnerabilidad en Adobe Experience Manager (CVE-2024-53968)

Fecha de publicación:
19/03/2025
Idioma:
Español
Las versiones 6.5.21 y anteriores de Adobe Experience Manager se ven afectadas por una vulnerabilidad de Cross-Site Scripting (XSS) basada en DOM que podría explotarse para ejecutar código arbitrario en el contexto de la sesión del navegador de la víctima. Al manipular el entorno DOM en el navegador de la víctima, un atacante con pocos privilegios puede inyectar scripts maliciosos que son ejecutados por dicho navegador. Para explotar este problema, se requiere la interacción del usuario, generalmente siguiendo un enlace malicioso.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/03/2025

Vulnerabilidad en Adobe Experience Manager (CVE-2024-53969)

Fecha de publicación:
19/03/2025
Idioma:
Español
Las versiones 6.5.21 y anteriores de Adobe Experience Manager se ven afectadas por una vulnerabilidad de Cross-Site Scripting (XSS) basada en DOM que podría explotarse para ejecutar código arbitrario en el contexto de la sesión del navegador de la víctima. Al manipular el entorno DOM en el navegador de la víctima, un atacante con pocos privilegios puede inyectar scripts maliciosos que son ejecutados por dicho navegador. Para explotar este problema, se requiere la interacción del usuario, generalmente siguiendo un enlace malicioso.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/03/2025

Vulnerabilidad en Adobe Experience Manager (CVE-2024-53970)

Fecha de publicación:
19/03/2025
Idioma:
Español
Las versiones 6.5.21 y anteriores de Adobe Experience Manager se ven afectadas por una vulnerabilidad de Cross-Site Scripting (XSS) almacenado que un atacante con pocos privilegios podría aprovechar para inyectar scripts maliciosos en campos de formulario vulnerables. JavaScript malicioso podría ejecutarse en el navegador de la víctima al acceder a la página que contiene el campo vulnerable.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/03/2025

Vulnerabilidad en Jenkins Zoho QEngine 1.0.29.vfa_cc2339650 (CVE-2025-30197)

Fecha de publicación:
19/03/2025
Idioma:
Español
El complemento Jenkins Zoho QEngine 1.0.29.vfa_cc23396502 y versiones anteriores no enmascaran el campo de formulario de clave de API de QEngine, lo que aumenta la posibilidad de que los atacantes lo observen y lo capturen.
Gravedad CVSS v3.1: BAJA
Última modificación:
21/03/2025

Vulnerabilidad en GitHub (CVE-2025-30154)

Fecha de publicación:
19/03/2025
Idioma:
Español
reviewdog/action-setup es una acción de GitHub que instala reviewdog. La acción reviewdog/action-setup@v1 se vio comprometida el 11 de marzo de 2025, entre las 18:42 y las 20:31 UTC, con código malicioso que vierte los secretos expuestos en los registros del flujo de trabajo de acciones de GitHub. Otras acciones de reviewdog que usan `reviewdog/action-setup@v1` y que también podrían verse comprometidas, independientemente de la versión o el método de fijación, son reviewdog/action-shellcheck, reviewdog/action-composite-template, reviewdog/action-staticcheck, reviewdog/action-ast-grep y reviewdog/action-typos.
Gravedad CVSS v3.1: ALTA
Última modificación:
29/03/2025

Vulnerabilidad en fast-jwt (CVE-2025-30144)

Fecha de publicación:
19/03/2025
Idioma:
Español
fast-jwt proporciona una implementación rápida de JSON Web Token (JWT). Antes de la versión 5.0.6, la librería fast-jwt no validaba correctamente la declaración iss según el RFC 7519. La validación de la declaración iss (emisor) dentro de la librería fast-jwt permite una matriz de cadenas como valor iss válido. Esta falla de diseño permite un posible ataque donde un actor malicioso manipula un JWT con una declaración iss estructurada como ['https://attacker-domain/', 'https://valid-iss']. Debido a la validación permisiva, el JWT se considerará válido. Además, si la aplicación utiliza librerías externas como get-jwks, que no validan de forma independiente la declaración iss, el atacante puede aprovechar esta vulnerabilidad para falsificar un JWT que sea aceptado por la aplicación víctima. En esencia, el atacante puede insertar su propio dominio en la matriz iss, junto con el emisor legítimo, y eludir las comprobaciones de seguridad previstas. Este problema se solucionó en la versión 5.0.6.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/03/2025

Vulnerabilidad en Syliud PayPal (CVE-2025-30152)

Fecha de publicación:
19/03/2025
Idioma:
Español
El Syliud PayPal es el complemento del equipo principal de Sylius para la plataforma PayPal Commerce. En versiones anteriores a las 1.6.2, 1.7.2 y 2.0.2, se descubrió una vulnerabilidad que permitía a los usuarios modificar su carrito de compra tras completar el proceso de pago y la autorización del pago. Si un usuario inicia una transacción de PayPal desde la página de un producto o del carrito y luego regresa a la página de resumen del pedido, aún puede manipular el contenido del carrito antes de finalizarlo. Como resultado, el importe del pedido en Sylius puede ser superior al importe real capturado por PayPal, lo que provoca que los comerciantes entreguen productos o servicios sin el pago completo. El problema se ha solucionado en las versiones 1.6.2, 1.7.2, 2.0.2 y posteriores.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/03/2025

Vulnerabilidad en kin-openapi (CVE-2025-30153)

Fecha de publicación:
19/03/2025
Idioma:
Español
kin-openapi es un proyecto de Go para gestionar archivos OpenAPI. Antes de la versión 0.131.0, al validar una solicitud con un esquema multipart/form-data, si el esquema OpenAPI lo permite, un atacante puede cargar un archivo ZIP manipulado (por ejemplo, una bomba ZIP), lo que provoca que el servidor consuma toda la memoria disponible del sistema. La causa principal proviene del ZipFileBodyDecoder, que el módulo registra automáticamente (al contrario de lo que indica la documentación). Esta vulnerabilidad se corrigió en la versión 0.131.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
19/03/2025