Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en diversos equipos PowerLogic de Schneider Electric (CVE-2021-22714)

Fecha de publicación:

11/03/2021

Idioma:

Español

A CWE-119: se presenta una vulnerabilidad de Restricción Inapropiada de Operaciones dentro de los Límites de un Búfer de la Memoria en PowerLogic ION7400, PM8000 e ION9000 (todas las versiones anteriores a V3.0.0), lo que podría causar al medidor reiniciarse o permitir una ejecución de código remota

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

03/02/2022

Vulnerabilidad en diversos equipos PowerLogic de Schneider Electric (CVE-2021-22713)

Fecha de publicación:

11/03/2021

Idioma:

Español

A CWE-119: se presenta vulnerabilidad de Restricción Inapropiada de Operaciones dentro de los Límites de un Búfer de la Memoria en PowerLogic ION8650, ION8800, ION7650, ION7700 /73xx e ION83xx /84xx/85xx /8600 (consulte la notificación de seguridad para las versiones afectadas), lo que podría causar al medidor reiniciarse

Gravedad CVSS v3.1: ALTA

Última modificación:

03/02/2022

Vulnerabilidad en la implementación del kernel de Linux del software manejador del controlador de la unidad de disquete (CVE-2021-20261)

Fecha de publicación:

11/03/2021

Idioma:

Español

Se encontró una condición de carrera en la implementación del kernel de Linux del software manejador del controlador de la unidad de disquete.&#xa0;El impacto de este problema es reducido por el hecho de que los permisos predeterminados en el dispositivo de disquete (/dev/fd0) están restringidos para root.&#xa0;Si los permisos en el dispositivo han cambiado, el impacto cambia mucho.&#xa0;En la configuración predeterminada, son requeridos permisos de root (o equivalentes) para atacar este fallo

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/03/2021

Vulnerabilidad en el archivo pixconv.c en la función pixConvert2To8 en Leptonica (CVE-2020-36277)

Fecha de publicación:

11/03/2021

Idioma:

Español

Leptonica versiones anteriores a 1.80.0, permite una denegación de servicio (bloqueo de la aplicación) por medio de un desplazamiento incorrecto a la izquierda en la función pixConvert2To8 en el archivo pixconv.c

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en el archivo includes/class-cart-manager.php en la cookie fdm_cart en la función load_cart_from_cookie en el plugin food-and-drink-menu para WordPress (CVE-2020-29045)

Fecha de publicación:

11/03/2021

Idioma:

Español

El plugin food-and-drink-menu versiones hast 2.2.0 para WordPress, permite a atacantes remotos ejecutar código arbitrario debido a una operación de unserialize en la cookie fdm_cart en la función load_cart_from_cookie en el archivo includes/class-cart-manager.php

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/03/2021

Vulnerabilidad en un documento SVG en diversos parámetros en Bloomreach Experience Manager (brXM) (CVE-2020-14988)

Fecha de publicación:

11/03/2021

Idioma:

Español

Se detectó un problema en Bloomreach Experience Manager (brXM) versiones 4.1.0 hasta 14.2.2.&#xa0;Permite un ataque de tipo XSS en la página de inicio de sesión por medio del parámetro loginmessage, el editor de texto por medio del atributo src de los elementos HTML, el menú de traducciones por medio del parámetro foldername, la página de autor por medio de la URL del enlace o la funcionalidad de carga de imagen por medio de un documento SVG que contiene JavaScript

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/03/2021

Vulnerabilidad en el uso de GET en lugar de POST en Bloomreach Experience Manager (brXM) (CVE-2020-14989)

Fecha de publicación:

11/03/2021

Idioma:

Español

Se detectó un problema en Bloomreach Experience Manager (brXM) versiones 4.1.0 hasta 14.2.2.,&#xa0;Permite un ataque de tipo CSRF si el atacante usa GET donde era previsto POST

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/03/2021

Vulnerabilidad en el editor de actualización en Bloomreach Experience Manager (brXM) (CVE-2020-14987)

Fecha de publicación:

11/03/2021

Idioma:

Español

Se detectó un problema en Bloomreach Experience Manager (brXM) versiones 4.1.0 hasta 14.2.2.,&#xa0;permite a atacantes remotos ejecutar código arbitrario porque se presenta un manejo inapropiado de la capacidad de los administradores para escribir y ejecutar scripts Groovy dentro del editor de actualización.&#xa0;Un atacante debe usar una anotación de transformación AST como @Grab

Gravedad CVSS v3.1: ALTA

Última modificación:

21/07/2021

Vulnerabilidad en el campo "Display Name" en el archivo modules/content/admin/content.php en el perfil de ImpressCMS (CVE-2021-28088)

Fecha de publicación:

11/03/2021

Idioma:

Español

Una vulnerabilidad de tipo cross-site scripting (XSS) en el archivo modules/content/admin/content.php en el perfil de ImpressCMS versión 1.4.2, permite a atacantes remotos inyectar un script web o parámetros HTML arbitrarios por medio del campo "Display Name"

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/03/2021

Vulnerabilidad en el campo name en Navigation en Batflat CMS (CVE-2021-27679)

Fecha de publicación:

11/03/2021

Idioma:

Español

Una vulnerabilidad de tipo Cross-site scripting (XSS) en Navigation en Batflat CMS versión 1.3.6, permite a atacantes remotos inyectar script web o HTML arbitrarios por medio del campo name

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/03/2021

Vulnerabilidad en el archivo Telerik.Web.UI.WebResource.axd en MicrosoftAjax.js en el parámetro _TSM_HiddenField_ en Progress Telerik UI para ASP.NET AJAX (CVE-2021-28141)

Fecha de publicación:

11/03/2021

Idioma:

Español

Se detectó un problema en Progress Telerik UI para ASP.NET AJAX versión 2021.1.224.&#xa0;Permite el acceso no autorizado a MicrosoftAjax.js por medio del archivo Telerik.Web.UI.WebResource.axd.&#xa0;Esto puede permitir a un atacante conseguir acceso no autorizado al servidor y ejecutar código.&#xa0;Para explotar, uno debe usar el parámetro _TSM_HiddenField_ e inyectar un comando al final del URI

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

30/06/2025

Vulnerabilidad en el archivo prog.cgi en la función SetVirtualServerSettings en los dispositivos D-Link DIR-3060 (CVE-2021-28144)

Fecha de publicación:

11/03/2021

Idioma:

Español

El archivo prog.cgi en los dispositivos D-Link DIR-3060 versiones anteriores a 1.11b04 HF2, permite a usuarios autenticados remoto inyectar comandos arbitrarios en un contexto de administrador o root porque la función SetVirtualServerSettings llama a CheckArpTables, que llama a popen de manera no segura

Gravedad CVSS v3.1: ALTA

Última modificación:

28/06/2022

Suscribirse a Vulnerabilidades