Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en console-io (CVE-2016-10532)

Fecha de publicación:

31/05/2018

Idioma:

Español

console-io es un módulo que permite que los usuarios implementen una consola web en su aplicación. Un usuario malicioso podría omitir la autenticación y ejecutar cualquier comando que el usuario que está ejecutando la aplicación console-io en versiones 2.2.13 y anteriores pueda ejecutar. Esto significa que, si console-io se ejecuta desde root, el atacante tendría acceso total al sistema. Esta vulnerabilidad existe debido a que la aplicación console-io no configura socket.io para que requiera autenticación, lo que permite que un usuario malicioso se conecte mediante un websocket para enviar comandos y recibir la respuesta.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

20/07/2018

Vulnerabilidad en marked (CVE-2016-10531)

Fecha de publicación:

31/05/2018

Idioma:

Español

marked es una aplicación hecha para analizar y compilar markdown. Debido a la forma en la que marked, en versiones 0.3.5 y anteriores, analiza entradas (específicamente, entidades HTML), es posible omitir la protección de inyección de contenido de marked ("sanitize: true") para inyectar una URL "javascript:". Este fallo existe porque "#xNNanything;" se analiza hasta donde se puede y olvida el resto, lo que resulta en que "anything;" queda suelto.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en express-restify-mongoose (CVE-2016-10533)

Fecha de publicación:

31/05/2018

Idioma:

Español

express-restify-mongoose es un modulo para crear fácilmente una interfaz REST flexible para modelos mongoose. express-restify-mongoose en versiones 2.4.2 y anteriores y versiones 3.0.X hasta la 3.0.1 permite que un usuario malicioso envíe una petición para "GET /User?distinct=password" y obtenga todas las contraseñas de todos los usuarios de la base de datos, aunque el campo esté marcado como privado. Esto puede emplearse para otro tipo de datos privados si el usuario malicioso sabe qué se marca como privado en rutas específicas.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en electron-packager (CVE-2016-10534)

Fecha de publicación:

31/05/2018

Idioma:

Español

electron-packager es una herramienta de línea de comandos que empaqueta código fuente Electron en los paquetes ".app" y ".exe" junto con Electron. La opción de línea de comandos "--strict-ssl" en electron-packager desde la versión 5.2.1 hasta la 6.0.0 y desde la versión 6.0.0 hasta la 6.0.2 se establece en false por defecto si no se marca como true explícitamente. Esto podría permitir que un atacante realice ataques Man-in-the-Middle (MitM).

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en csrf-lite (CVE-2016-10535)

Fecha de publicación:

31/05/2018

Idioma:

Español

csrf-lite es una biblioteca de protección contra Cross-Site Request Forgery (CSRF) para los sitios node sin framework. csrf-lite emplea "===", una comparación de cadena "fail first", en lugar de una comparación de cadena "time constant". Esto permite que un atacante adivine el secreto en un máximo de (16*18)288 intentos, en lugar de los 16^18 intentos necesarios si no existiese un ataque de sincronización.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en engine.io-client (CVE-2016-10536)

Fecha de publicación:

31/05/2018

Idioma:

Español

engine.io-client es el cliente para engine.io, la implementación de una capa de comunicación bidireccional cross-browser/cross-device basada en transporte para Socket.IO. La vulnerabilidad está relacionada con la forma en la que node.js gestiona la opción "rejectUnauthorized". si el valor es algo que se evalúa como falso, se deshabilitará la verificación de certificados. Esto es un problema, ya que engine.io-client en versiones 1.6.8 y anteriores pasa un objeto para opciones que incluyen la propiedad rejectUnauthorized, se haya habilitado o no. Si el valor no se ha cambiado de forma explícita, se pasará como "null", lo que resulta en que se desactiva la verificación de certificados.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en la función "Model#Escape" de backbone (CVE-2016-10537)

Fecha de publicación:

31/05/2018

Idioma:

Español

backbone es un módulo que añade una estructura a una aplicación con mucho JavaScript mediante pares de valores de clave y eventos personalizados que se conectan al API RESTful mediante JSON. Podría existir una vulnerabilidad de Cross-Site Scripting (XSS) en la función "Model#Escape" de backbone, en versiones 0.3.3 y anteriores, si un usuario es capaz de proporcionar entradas. Esto se debe al regex que está reemplazando cosas para que no se realice la conversión de cosas como, por ejemplo, "".

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en el paquete node-cli (CVE-2016-10538)

Fecha de publicación:

31/05/2018

Idioma:

Español

El paquete node-cli, en versiones anteriores a la 1.0.0, emplea de forma insegura lock_file y log_file. Ambos son temporales, pero permite que el usuario inicial sobrescriba cualquier archivo al que tenga acceso.

Gravedad CVSS v3.1: BAJA

Última modificación:

09/10/2019

Vulnerabilidad en negotiator (CVE-2016-10539)

Fecha de publicación:

31/05/2018

Idioma:

Español

negotiator es un negociador de contenido HTTP para Node.js y es empleado por muchos módulos y frameworks, incluyendo Express y Koa. La cabecera para "Accept-Language", cuando es analizada por negotiator en versiones 0.6.0 y anteriores es vulnerable a una denegación de servicio con expresiones regulares (ReDoS) mediante una cadena especialmente manipulada.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en el parámetro pattern en Minimatch (CVE-2016-10540)

Fecha de publicación:

31/05/2018

Idioma:

Español

Minimatch es una utilidad de coincidencia mínima que funciona convirtiendo expresiones glob en objetos "RegExp" de JavaScript. La función primaria, "minimatch(path, pattern)", en Minimatch en versiones 3.0.1 y anteriores, es vulnerable a una denegación de servicio con expresiones regulares (ReDoS) en el parámetro "pattern".

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en el módulo de npm shell-quote (CVE-2016-10541)

Fecha de publicación:

31/05/2018

Idioma:

Español

El módulo de npm "shell-quote", en versiones 1.6.0 y anteriores, no puede escapar correctamente los operadores ">" y "

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

31/01/2023

Vulnerabilidad en ws (CVE-2016-10542)

Fecha de publicación:

31/05/2018

Idioma:

Español

ws es un "cliente, servidor y consola websocket para Node.js fácil de usar, increíblemente rápido y testado en profundidad, actualizado contra RFC-6455". Mediante el envío de una carga útil websocket demasiado larga a un servidor "ws", es posible provocar el cierre inesperado del proceso node. Esto afecta a ws en versiones 1.1.0 y anteriores.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Suscribirse a Vulnerabilidades