Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en SAP R / 3 Enterprise (CVE-2019-0311)

Fecha de publicación:
12/06/2019
Idioma:
Español
El portal de concesionarios automotrices en la aplicación SAP R / 3 Enterprise (versiones: 600, 602, 603, 604, 605, 606, 616, 617) no codifica suficientemente las entradas controladas por el usuario, lo que hace posible que un atacante envíe guiones no deseados a el navegador de la víctima utiliza información no deseada y ejecuta código malicioso allí, lo que da como resultado una vulnerabilidad de secuencias de comandos entre sitios (XSS).
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/06/2019

Vulnerabilidad en NetWeaver Process Integration (CVE-2019-0312)

Fecha de publicación:
12/06/2019
Idioma:
Español
Varias páginas web proporcionadas SAP NetWeaver Process Integration (versiones: SAP_XIESR: 7.10 a 7.11, 7.20, 7.30, 7.31, 7.40, 7.50 y SAP_XITOOL: 7.10 a 7.11, 7.30, 7.31, 7.40, 7.50) no están protegidas con contraseña. Un atacante podría acceder a información horizontal como nombres de host, puertos u otros datos técnicos en ausencia de cortafuegos y configuración de puertos restrictivos
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/08/2020

Vulnerabilidad en SAP work (CVE-2019-0314)

Fecha de publicación:
12/06/2019
Idioma:
Español
El administrador SAP work versiones 6.3, 6.4, 6.5 y el administrador SAP Inventory, versiones 4.3, permite a un atacante evitar usuarios legítimos un servicio, colgando o inundando el servicio
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/08/2020

Vulnerabilidad en SAP NetWeaver Process Integration (CVE-2019-0315)

Fecha de publicación:
12/06/2019
Idioma:
Español
Bajo ciertas condiciones, la interfaz de usuario web de PI Integration Builder de SAP NetWeaver Process Integration (versiones: SAP_XIESR: 7.10 a 7.11, 7.20, 7.30, 7.31, 7.40, 7.50, SAP_XITOOL: 7.10 a 7.11, 7.30, 7.31, 7.40, 7.50 y SAP_XIPCK 7.10 a 7.11, 7.20, 7.30) permite a un atacante acceder a las contraseñas utilizadas en los canales FTP que conducen a la divulgación de información.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/08/2020

Vulnerabilidad en Las versiones de Adobe Flash Player (CVE-2019-7845)

Fecha de publicación:
12/06/2019
Idioma:
Español
Las versiones de Adobe Flash Player 32.0.0.192 y anteriores 3.20.0.0.192 y anteriores tiene un use después de vulnerabilidad gratuita. La operación con éxito podría llevar a un código arbitrario de ejecución
Gravedad CVSS v3.1: ALTA
Última modificación:
18/04/2022

Vulnerabilidad en Congiurator para Devicenet Safety (CVE-2019-10971)

Fecha de publicación:
12/06/2019
Idioma:
Español
La aplicación (Network Congiurator para Devicenet Safety 3.41 y priores ) busca recursos a través de una ruta de búsqueda no confiable que podría ejecutar un archivo .dll malicioso que no está bajo el control directo de la aplicación y fuera de los directorios previstos.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/10/2019

Vulnerabilidad en (Billion Laughs Attack) en Pippo (CVE-2019-5442)

Fecha de publicación:
12/06/2019
Idioma:
Español
expansión de la entidad XML (Billion Laughs Attack) en Pippo 1.12.0 da como resultado Denegación de servicio. Las entidades se crean de forma recursiva y se toman grandes cantidades de memoria de almacenamiento dinámico. Eventualmente, el proceso JVM se quedará sin memoria. De lo contrario, si el sistema operativo no vincula la memoria en ese proceso, la memoria continuará agotándose y afectará a otros procesos en el sistem
Gravedad CVSS v3.1: ALTA
Última modificación:
16/10/2020

Vulnerabilidad en ColdFusion UpColdFusion (CVE-2019-7838)

Fecha de publicación:
12/06/2019
Idioma:
Español
Las versiones ColdFusion Update 3 y anteriores, actualización 10 y anteriores y actualización 18 y anteriores tienen una vulnerabilidad de omisión de la lista negra de extensión de archivo. La explotación exitosa podría llevar a la ejecución de código arbitrario.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/09/2020

Vulnerabilidad en ColdFusion (CVE-2019-7839)

Fecha de publicación:
12/06/2019
Idioma:
Español
Las versiones ColdFusion actualización 3 y anteriores, actualización 10 y anteriores, y actualización 18 y anteriores tienen una vulnerabilidad de inyección de comandos. La operación con éxito podría llevar a la ejecución de código arbitrario.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/09/2020

Vulnerabilidad en ColdFusion (CVE-2019-7840)

Fecha de publicación:
12/06/2019
Idioma:
Español
Las versiones ColdFusion actualización 3 y anteriores, actualización 10 y anterior, y actualización 18 y anterior tienen una desrealización de vulnerabilidad de datos no seguros. Una operación con éxito, lleva a una ejecución de código arbitrario.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/09/2020

Vulnerabilidad en IP Dahua IPC-HFW1XXX, (CVE-2019-9676)

Fecha de publicación:
12/06/2019
Idioma:
Español
Vulnerabilidad de desbordamiento de búfer encontrada en algunos dispositivos de cámara IP Dahua IPC-HFW1XXX, IPC-HDW1XXX, IPC-HFW2XXX Compilación antes del 2018/11. La vulnerabilidad se encuentra en la función de redireccionamiento de la información de impresión del puerto serie, que no puede ser utilizada por las funciones básicas del producto. Después de que un atacante inicia sesión localmente, esta vulnerabilidad puede ser explotada para provocar el reinicio del dispositivo o la ejecución de código arbitrario. Dahua identificó los problemas de seguridad correspondientes en el proceso de auditoría de código estático, por lo que gradualmente eliminó esta función, que ya no está disponible en los dispositivos y software más nuevos. Dahua ha lanzado versiones de los productos afectados para corregir la vulnerabilidad.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/06/2019

Vulnerabilidad en El Fuji Electric V-Server anterior a versión (CVE-2019-3946)

Fecha de publicación:
12/06/2019
Idioma:
Español
El Fuji Electric V-Server anterior a versión 6.0.33.0, es vulnerable a la denegación de servicio por medio de un mensaje UDP creado en el puerto 8005. Un atacante remoto no identificado puede bloquear el archivo vserver.exe debido a un desbordamiento de enteros en la lógica de manejo de mensajes UDP.
Gravedad CVSS v3.1: ALTA
Última modificación:
14/06/2019