Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Apache Fineract (CVE-2018-11801)

Fecha de publicación:

11/06/2019

Idioma:

Español

La vulnerabilidad de la inyección SQL en Apache Fineract anterior a la versión 1.3.0, permite a los atacantes ejecutar comandos SQL arbitrarios por medio de una consulta en una tabla relacionada con datos m_center.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/11/2023

Vulnerabilidad en MISP 2.4.108 (CVE-2019-12794)

Fecha de publicación:

11/06/2019

Idioma:

Español

Un problema fue descubierto en MISP 2.4.108. Los administradores de la organización podrían restablecer las credenciales de los administradores del sitio (los administradores de la organización tienen la capacidad inherente de restablecer las contraseñas para todos los usuarios de su organización). Sin embargo, esto podría ser objeto de abuso en una situación en la que la organización anfitriona de una instancia crea administradores de la organización. Un administrador de la organización podría establecer una contraseña manualmente para el administrador del sitio o simplemente usar la clave API del administrador del sitio para hacerse pasar por ella. El potencial de abuso solo se produce cuando la organización anfitriona crea administradores de organización con menos privilegios en lugar de los administradores de sitio habituales. Además, solo los administradores de la organización de la misma organización que el administrador del sitio podrían abusar de esto.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/08/2020

Vulnerabilidad en Canonst Upstart en Ubuntu (CVE-2019-12749)

Fecha de publicación:

11/06/2019

Idioma:

Español

dbus anterior a versión 1.10.28, versión 1.12.x anterior a 1.12.16, y versión 1.13.x anterior a 1.13.12, como es usado en DBusServer en Canonst Upstart en Ubuntu versión 14.04 (y en algunos usos menos comunes de demonio dbus), permite suplantación de identidad de cookie debido al manejo inapropiado de enlaces simbólicos (symlink) en la implementación de referencia de DBUS_COOKIE_SHA1 en la biblioteca libdbus. (Esto solo afecta el mecanismo de autenticación DBUS_COOKIE_SHA1). Un cliente malicioso con acceso de escritura a su propio directorio de inicio podría manipular un enlace simbólico ~/.dbus-keyrings para hacer que un DBusServer con un uid diferente lea y escriba en ubicaciones no deseadas. En el peor de los casos, esto podría hacer que DBusServer reutilice una cookie que es conocida por el cliente malicioso, y tratar esa cookie como evidencia de que una conexión de cliente subsiguiente provino de un uid elegido por el atacante, lo que permite la omisión de autenticación.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/02/2026

Vulnerabilidad en la API en el Plugin ElectricFlow de Jenkins (CVE-2019-10336)

Fecha de publicación:

11/06/2019

Idioma:

Español

Una vulnerabilidad de tipo cross site scripting reflejada en el Plugin ElectricFlow de Jenkins versión 1.1.6 y anteriores, permitía a los atacantes capaces de controlar la salida de la API de ElectricFlow inyectar HTML y JavaScript arbitrario en los formularios de configuración de trabajos que contienen los pasos posteriores a la compilación proporcionada por este plugin.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/10/2023

Vulnerabilidad en la macro "XML" del Plugin Token Macro de Jenkins (CVE-2019-10337)

Fecha de publicación:

11/06/2019

Idioma:

Español

Una vulnerabilidad de entidades externas XML (XXE) en el Plugin Token Macro de Jenkins versión 2.7 y anteriores, permitía a los atacantes capaces de controlar el contenido del archivo de entrada de la macro "XML" para tener Jenkins que resolver las entidades externas, resultando en la extracción de secretos del agente de Jenkins, la falsificación de peticiones del lado del servidor o ataques de denegación de servicio.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/10/2023

Vulnerabilidad en GlobalPluginConfiguration#doValidateClient en el Plugin JX Resources de Jenkins (CVE-2019-10338)

Fecha de publicación:

11/06/2019

Idioma:

Español

Una vulnerabilidad de tipo cross-site request forgery en el Plugin JX Resources de Jenkins versión 1.0.36 y anteriores, en GlobalPluginConfiguration#doValidateClient permitía a los atacantes hacer que Jenkins conecte a un servidor Kubernetes especificado por el agresor, permitiendo potencialmente el filtrado de credenciales.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/10/2023

Vulnerabilidad en GlobalPluginConfiguration#doValidateClient en el Plugin JX Resources de Jenkins (CVE-2019-10339)

Fecha de publicación:

11/06/2019

Idioma:

Español

Una falta de comprobación de permisos en el Plugin JX Resources de Jenkins versión 1.0.36 y anteriores, en GlobalPluginConfiguration#doValidateClient permitió a los usuarios con acceso General y Lectura hacer que Jenkins conecte a un servidor Kubernetes especificado por el atacante, permitiendo potencialmente el filtrado de credenciales.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/10/2023

Vulnerabilidad en Configuration#doTestConnection en el Plugin ElectricFlow de Jenkins (CVE-2019-10331)

Fecha de publicación:

11/06/2019

Idioma:

Español

Una vulnerabilidad de tipo cross-site request forgery en el Plugin ElectricFlow de Jenkins versión 1.1.5 y anteriores, en Configuration#doTestConnection permitió a los atacantes conectarse a una URL especificada por el agresor utilizando credenciales especificadas por él mismo.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/10/2023

Vulnerabilidad en el Plugin ElectricFlow de Jenkins (CVE-2019-10334)

Fecha de publicación:

11/06/2019

Idioma:

Español

El Plugin ElectricFlow de Jenkins versión 1.1.5 y anteriores, deshabilita globalmente la comprobación de SSL/TLS y el nombre de host para el maestro JVM de Jenkins cuando se utiliza MultipartUtility.java para cargar archivos.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/10/2023

Vulnerabilidad en la API del Plugin ElectricFlow de Jenkins (CVE-2019-10335)

Fecha de publicación:

11/06/2019

Idioma:

Español

Una vulnerabilidad almacenada de tipo cross site scripting en el Plugin ElectricFlow de Jenkins versión 1.1.5 y anteriores, permitía a los atacantes capaces de configurar trabajos en Jenkins o controlar la salida de la API de ElectricFlow inyectar HTML y JavaScript arbitrarios en la salida proporcionada por el plugin en las páginas de estado de compilación.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/10/2023

Vulnerabilidad en el Plugin ElectricFlow de Jenkins (CVE-2019-10332)

Fecha de publicación:

11/06/2019

Idioma:

Español

Una falta de comprobación de permisos en el Plugin ElectricFlow de Jenkins versión 1.1.5 y anteriores, en Configuration#doTestConnection permitieron a los usuarios con acceso General y de Lectura conectarse a una URL especificada por el atacante utilizando credenciales especificadas por él mismo.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/10/2023

Vulnerabilidad en el Plugin ElectricFlow de Jenkins (CVE-2019-10333)

Fecha de publicación:

11/06/2019

Idioma:

Español

Una falta de comprobación de permisos en el Plugin ElectricFlow de Jenkins versión 1.1.5 y anteriores, en varios endpoints HTTP permitieron a los usuarios con acceso General y de Lectura obtener información sobre la configuración del Plugin ElectricFlow de Jenkins y la configuración de las instancias de ElectricFlow conectadas.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/10/2023

Suscribirse a Vulnerabilidades