Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Odoo Community y Odoo Enterprise (CVE-2024-36259)

Fecha de publicación:

25/02/2025

Idioma:

Español

Un control de acceso inadecuado en el módulo de correo de Odoo Community 17.0 y Odoo Enterprise 17.0 permite a atacantes autenticados remotos extraer información confidencial a través de un ataque manipulado basado en oráculo (respuesta sí/no).

Gravedad CVSS v3.1: ALTA

Última modificación:

28/02/2025

Vulnerabilidad en Odoo Community y Odoo Enterprise (CVE-2024-12368)

Fecha de publicación:

25/02/2025

Idioma:

Español

El control de acceso inadecuado en el módulo auth_oauth de Odoo Community 15.0 y Odoo Enterprise 15.0 permite que un usuario interno exporte los tokens OAuth de otros usuarios.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/02/2025

Vulnerabilidad en GLPI (CVE-2025-23046)

Fecha de publicación:

25/02/2025

Idioma:

Español

GLPI es un paquete de software gratuito de gestión de activos y TI. A partir de la versión 9.5.0 y antes de la versión 10.0.18, si un proveedor de autenticación de "servidores de correo" está configurado para utilizar una conexión Oauth proporcionada por el complemento OauthIMAP, cualquiera puede conectarse a GLPI utilizando un nombre de usuario en el que ya se haya establecido una autorización Oauth. La versión 10.0.18 contiene un parche. Como workaround, se puede deshabilitar cualquier proveedor de autenticación de "servidores de correo" configurado para utilizar una conexión Oauth proporcionada por el complemento OauthIMAP.

Gravedad CVSS v4.0: MEDIA

Última modificación:

28/02/2025

Vulnerabilidad en GLPI (CVE-2025-25192)

Fecha de publicación:

25/02/2025

Idioma:

Español

GLPI es un paquete de software gratuito de gestión de activos y TI. Antes de la versión 10.0.18, un usuario con pocos privilegios podía habilitar el modo de depuración y acceder a información confidencial. La versión 10.0.18 contiene un parche. Como workaround, se puede eliminar el archivo `install/update.php`.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/04/2025

Vulnerabilidad en Contec Health (CVE-2025-1204)

Fecha de publicación:

25/02/2025

Idioma:

Español

El binario "update" en el firmware del producto afectado envía intentos de montaje a una dirección IP enrutable y codificada, omitiendo para ello la configuración de red existente del dispositivo. La función se activa si se presiona el botón "C" en un momento específico durante el proceso de arranque. Si un atacante puede controlar o suplantar esta dirección IP, podría cargar y sobrescribir archivos en el dispositivo.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/02/2025

Vulnerabilidad en Esri ArcGIS Pro (CVE-2025-1067)

Fecha de publicación:

25/02/2025

Idioma:

Español

Existe una vulnerabilidad de ruta de búsqueda no confiable en Esri ArcGIS Pro 3.3 y 3.4 que puede permitir que un atacante con pocos privilegios y privilegios de escritura en el sistema de archivos local introduzca un ejecutable malicioso en el sistema de archivos. Cuando la víctima realiza una acción específica con ArcGIS Pro, el archivo podría ejecutar comandos maliciosos en el contexto de la víctima. Este problema se soluciona en ArcGIS Pro 3.3.3 y 3.4.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/06/2025

Vulnerabilidad en Esri ArcGIS AllSource (CVE-2025-1068)

Fecha de publicación:

25/02/2025

Idioma:

Español

Existe una vulnerabilidad de ruta de búsqueda no confiable en Esri ArcGIS AllSource 1.2 y 1.3 que puede permitir que un atacante con pocos privilegios y con privilegios de escritura en el sistema de archivos local introduzca un ejecutable malicioso en el sistema de archivos. Cuando la víctima realiza una acción específica con ArcGIS AllSource, el archivo podría ejecutar comandos maliciosos en el contexto de la víctima. Este problema se corrigió en ArcGIS AllSource 1.2.1 y 1.3.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/06/2025

Vulnerabilidad en X.Org y Xwayland (CVE-2025-26599)

Fecha de publicación:

25/02/2025

Idioma:

Español

Se encontró un error en el acceso a un puntero no inicializado en X.Org y Xwayland. La función compCheckRedirect() puede fallar si no puede asignar el mapa de píxeles de respaldo. En ese caso, compRedirectWindow() devolverá un error BadAlloc sin validar el árbol de ventanas marcado justo antes, lo que deja los datos validados parcialmente inicializados y el uso de un puntero no inicializado más adelante.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/05/2025

Vulnerabilidad en X.Org y Xwayland (CVE-2025-26600)

Fecha de publicación:

25/02/2025

Idioma:

Español

Se encontró una falla de use-after-free en X.Org y Xwayland. Cuando se elimina un dispositivo mientras aún está congelado, los eventos en cola para ese dispositivo permanecen mientras se libera el dispositivo. La reproducción de los eventos provocará un use-after-free.

Gravedad CVSS v3.1: ALTA

Última modificación:

16/05/2025

Vulnerabilidad en X.Org y Xwayland (CVE-2025-26601)

Fecha de publicación:

25/02/2025

Idioma:

Español

Se encontró una falla de use-after-free en X.Org y Xwayland. Al cambiar una alarma, los valores de la máscara de cambio se evalúan uno tras otro, cambiando los valores de activación según lo solicitado y, finalmente, se llama a SyncInitTrigger(). Si uno de los cambios activa un error, la función regresará antes, sin agregar el nuevo objeto de sincronización, lo que posiblemente cause un use-after-free cuando finalmente se active la alarma.

Gravedad CVSS v3.1: ALTA

Última modificación:

16/05/2025

Vulnerabilidad en GLPI (CVE-2025-23024)

Fecha de publicación:

25/02/2025

Idioma:

Español

GLPI es un paquete de software gratuito de gestión de activos y TI. A partir de la versión 0.72 y antes de la versión 10.0.18, un usuario anónimo puede desactivar todos los complementos activos. La versión 10.0.18 contiene un parche. Como workaround, se puede eliminar el archivo `install/update.php`.

Gravedad CVSS v4.0: MEDIA

Última modificación:

04/03/2025

Vulnerabilidad en X.Org y Xwayland (CVE-2025-26594)

Fecha de publicación:

25/02/2025

Idioma:

Español

Se encontró una falla de use-after-free en X.Org y Xwayland. El cursor raíz se referencia en el servidor X como una variable global. Si un cliente libera el cursor raíz, la referencia interna apunta a la memoria liberada y provoca un use-after-free.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/05/2025

Suscribirse a Vulnerabilidades