Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el archivo /tinyfilemanager.php en TinyFileManager (CVE-2021-40966)

Fecha de publicación:

15/09/2021

Idioma:

Español

Se presenta una vulnerabilidad de tipo XSS almacenado en TinyFileManager. Todas las versiones hasta 2.4.6 incluyéndola, en el archivo /tinyfilemanager.php cuando el servidor recibe un archivo que contiene HTML y javascript en su nombre. Un usuario malicioso puede subir un archivo con un nombre malicioso que contenga código javascript y se ejecutará en cualquier navegador de usuario cuando éste acceda al servidor

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/12/2025

Vulnerabilidad en el parámetro "fullpath" en TinyFileManager (CVE-2021-40964)

Fecha de publicación:

15/09/2021

Idioma:

Español

Se presenta una vulnerabilidad de Salto de Directorio en TinyFileManager en Todas las versiones hasta 2.4.6 incluyéndola, que permite a atacantes subir un archivo (con credenciales de administrador o con la vulnerabilidad CSRF) con el parámetro "fullpath" que contiene cadenas de salto de ruta (../ y ..\) para escapar del directorio de trabajo previsto del servidor y escribir archivos maliciosos en cualquier directorio del ordenador

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/12/2025

Vulnerabilidad en IBM Security Guardium (CVE-2021-20433)

Fecha de publicación:

15/09/2021

Idioma:

Español

IBM Security Guardium versión 11.3, podría permitir a un usuario autenticado conseguir información confidencial que podría ser usada en otros ataques contra el sistema. IBM X-Force ID: 196345

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/09/2021

Vulnerabilidad en los parámetros (1) NOM_CLI , (2) ADRESSE , (3) ADRESSE2, (4) LOCALITE en /eshop/productos/json/aouCustomerAdresse; y el parámetro (5) nom_liste a /eshop/productos/json/addCustomerFavorite en SITA Software Azur CMS (CVE-2021-28901)

Fecha de publicación:

15/09/2021

Idioma:

Español

Se presentan múltiples vulnerabilidades de tipo cross-site scripting (XSS) en SITA Software Azur CMS versiones 1.2.3.1 y anteriores, que permiten a atacantes remotos inyectar scripts web o HTML arbitrario por medio de los parámetros (1) NOM_CLI , (2) ADRESSE , (3) ADRESSE2, (4) LOCALITE en /eshop/productos/json/aouCustomerAdresse; y el parámetro (5) nom_liste a /eshop/productos/json/addCustomerFavorite

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/09/2021

Vulnerabilidad en el campo Title de un Radar en la aplicación TechRadar para Confluence Server (CVE-2021-37412)

Fecha de publicación:

15/09/2021

Idioma:

Español

La aplicación TechRadar versión 1.1, para Confluence Server permite una vulnerabilidad de tipo XSS por medio del campo Title de un Radar

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/01/2023

Vulnerabilidad en la herramienta de administración de MyLittleBackup (CVE-2021-39392)

Fecha de publicación:

15/09/2021

Idioma:

Español

La herramienta de administración de MyLittleBackup versiones hasta 1.7 incluyéndola, permite a atacantes remotos ejecutar código arbitrario porque machineKey está embebida (la misma para todas las instalaciones de los clientes) en web.config, y puede usarse para enviar código ASP serializado

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/10/2021

Vulnerabilidad en el endpoint de telemetría en GLPI (CVE-2021-39211)

Fecha de publicación:

15/09/2021

Idioma:

Español

GLPI es un paquete de software gratuito de administración de activos y TI. A partir de la versión 9.2 y versiones anteriores a 9.5.6, el endpoint de telemetría divulga información de GLPI y del servidor. Este problema es corregido en versión 9.5.6. Como solución, elimine el archivo "ajax/telemetry.php", que no es necesario para las funciones habituales de GLPI

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/08/2022

Vulnerabilidad en la API Rest en GLPI (CVE-2021-39213)

Fecha de publicación:

15/09/2021

Idioma:

Español

GLPI es un paquete de software gratuito de administración de activos y TI. A partir de la versión 9.1 y versiones anteriores a 9.5.6, GLPI con la API Rest habilitada es vulnerable a una omisión de la API con inyección de encabezado personalizado. Este problema es corregido en versión 9.5.6. Puede ser deshabilitar API Rest como solución

Gravedad CVSS v3.1: ALTA

Última modificación:

28/09/2021

Vulnerabilidad en el análisis de los archivos DWG en Autodesk Navisworks (CVE-2021-40155)

Fecha de publicación:

15/09/2021

Idioma:

Español

Un archivo DWG diseñado maliciosamente en Autodesk Navisworks versiones 2019, 2020, 2021, 2022, puede ser forzado a leer más allá de los límites asignados cuando se analizan los archivos DWG. Esta vulnerabilidad puede ser explotada para ejecutar código arbitrario

Gravedad CVSS v3.1: ALTA

Última modificación:

28/09/2021

Vulnerabilidad en el análisis de los archivos DWG en Autodesk Navisworks (CVE-2021-40156)

Fecha de publicación:

15/09/2021

Idioma:

Español

Un archivo DWG diseñado maliciosamente en Autodesk Navisworks versiones 2019, 2020, 2021, 2022, puede ser forzado a escribir más allá de los límites asignados cuando se analizan los archivos DWG. Esta vulnerabilidad puede ser explotada para ejecutar código arbitrario

Gravedad CVSS v3.1: ALTA

Última modificación:

28/09/2021

Vulnerabilidad en una petición HTTP en la funcionalidad "Cron Jobs" en el panel de administración de Webuzo (CVE-2021-40238)

Fecha de publicación:

15/09/2021

Idioma:

Español

Se presenta una vulnerabilidad de tipo Cross Site Scripting (XSS) en el panel de administración de Webuzo versiones anteriores a 2.9.0, por medio de una petición HTTP a una página no existente, que es activada por los administradores que visualizan la página "Error Log". Un atacante puede aprovechar esto para lograr una ejecución de código remota sin autenticación por medio de la funcionalidad "Cron Jobs" de Webuzo

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/09/2021

Vulnerabilidad en la cookie usada para almacenar el autologin en GLPI (CVE-2021-39210)

Fecha de publicación:

15/09/2021

Idioma:

Español

GLPI es un paquete de software gratuito de administración de activos e informática. En versiones anteriores a 9.5.6, la cookie usada para almacenar el autologin (cuando un usuario usa la funcionalidad "remember me") es accesible mediante scripts. Un plugin malicioso que pudiera robar esta cookie podría usarla para autologin. Este problema es corregido en versión 9.5.6. Como solución, puede ser evitado usar la función "remember me"

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/10/2022

Suscribirse a Vulnerabilidades