Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Suricata (CVE-2016-10728)

Fecha de publicación:

23/07/2018

Idioma:

Español

Se ha descubierto un problema en versiones anteriores a la 3.1.2 de Suricata. Si se recibe un paquete de error ICMPv4 como el primer paquete de un flujo en dirección to_client, confunde la lógica de búsqueda de agrupación de reglas. La inspección de toclient continuará con el grupo de reglas incorrecto. Esto puede conducir a un fallo de detección.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/09/2018

Vulnerabilidad en Niushop (CVE-2018-14570)

Fecha de publicación:

23/07/2018

Idioma:

Español

Una vulnerabilidad de subida de archivos en application/shop/controller/member.php en Niushop B2B2C Multi-business basic V1.11 permite que cualquier miembro remoto suba un archivo .php al servidor web mediante un campo de avatar de perfil utilizando un Content-Type de imagen (p.ej., image/jpeg) con un nombre de archivo y contenido modificado. Esto resulta en la ejecución de código arbitrario solicitando ese archivo .php.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/09/2018

Vulnerabilidad en Online Trade - Online trading and cryptocurrency investment system (CVE-2018-14328)

Fecha de publicación:

23/07/2018

Idioma:

Español

"Online Trade - Online trading and cryptocurrency investment system", de Brynamics, permite que los atacantes remotos obtengan información sensible mediante una petición directa en /dashboard/addplan, /dashboard/paywithcard/charge, /dashboard/withdrawal o /privacyterms, tal y como queda demostrado con la lectura de los campos database username, database password, database_name y IP address. Esto está relacionado con CVE-2018-12908.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

20/09/2018

Vulnerabilidad en Suricata (CVE-2018-14568)

Fecha de publicación:

23/07/2018

Idioma:

Español

Suricata en versiones anteriores a la 4.0.5 detiene la inspección de transmisiones TCP al recibir un TCP RST de un servidor. Esto permite la omisión de la detección debido a que los clientes de Windows TCP continuaban el procesamiento habitual de datos TCP que llegan poco después de un RST (por ejemplo, actúan como si el RST no se hubiese recibido aún).

Gravedad CVSS v3.1: ALTA

Última modificación:

03/10/2019

Vulnerabilidad en Jenkins (CVE-2018-1999006)

Fecha de publicación:

23/07/2018

Idioma:

Español

Existe una vulnerabilidad de exposición de información sensible en Jenkins 2.132 y anteriores y 2.121.1 y anteriores en Plugin.java que permite que los atacantes determinen la fecha y hora cuando un archivo de plugin HPI/JPI fue extraído por última vez, que suele ser la fecha de la instalación/actualización más reciente.

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/05/2019

Vulnerabilidad en Jenkins (CVE-2018-1999001)

Fecha de publicación:

23/07/2018

Idioma:

Español

Existe una vulnerabilidad de modificación no autorizada de configuración en Jenkins en versiones 2.132 y anteriores y en versiones 2.121.1 y anteriores en User.java que permite que los atacantes proporcionen credenciales de inicio de sesión manipuladas que provocan que Jenkins mueva el archivo config.xml desde el directorio raíz de Jenkins. Si se inicia Jenkins sin este archivo, el programa volverá a la opción por defecto de dar acceso de administrador a los usuarios anónimos.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/06/2022

Vulnerabilidad en Jenkins (CVE-2018-1999002)

Fecha de publicación:

23/07/2018

Idioma:

Español

Existe una lectura de archivos arbitrarios en Jenkins en versiones 2.132 y anteriores y en versiones 2.121.1 y anteriores en el org/kohsuke/stapler/Stapler.java del framework web Staple. Este permite que los atacantes envíen peticiones HTTP manipuladas que devuelven el contenido de cualquier archivo del sistema de archivos maestro de Jenkins al que el programa puede acceder.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/06/2022

Vulnerabilidad en Jenkins (CVE-2018-1999003)

Fecha de publicación:

23/07/2018

Idioma:

Español

Existe una vulnerabilidad de autorización incorrecta en Jenkins 2.132 y anteriores y 2.121.1 y anteriores en Queue.java que permite que los atacantes con el permiso Overall/Read cancelen las builds en cola.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/06/2022

Vulnerabilidad en Jenkins (CVE-2018-1999004)

Fecha de publicación:

23/07/2018

Idioma:

Español

Existe una vulnerabilidad de autorización incorrecta en Jenkins 2.132 y anteriores y 2.121.1 y anteriores en SlaveComputer.java que permite que los atacantes con el permiso Overall/Read inicien el arranque de los agentes y aborten el arranque en proceso de los agentes.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/06/2022

Vulnerabilidad en Jenkins (CVE-2018-1999005)

Fecha de publicación:

23/07/2018

Idioma:

Español

Existe una vulnerabilidad de Cross-Site Scripting (XSS), en Jenkins 2.132 y anteriores y 2.121.1 y anteriores, en BuildTimelineWidget.java y BuildTimelineWidget/control.jelly, que permite que atacantes con permisos Job/Configure definan JavaScript que se ejecutaría en el navegador de otro usuario cuando ese usuario realiza acciones en la interfaz de usuario.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/06/2022

Vulnerabilidad en Jenkins (CVE-2018-1999007)

Fecha de publicación:

23/07/2018

Idioma:

Español

Existe una vulnerabilidad de Cross-Site Scripting (XSS) en Jenkins 2.132 y anteriores y 2.121.1 y anteriores en el org/kohsuke/stapler/Stapler.java del framework web Staple. Este permite que los atacantes controlen la existencia de algunas URL en Jenkins para definir JavaScript que será ejecutado en el navegador de otro usuario cuando ese otro usuario visualiza páginas de error HTTP 404 mientras el modo de depuración de Stapler está habilitado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/06/2022

Vulnerabilidad en PHP Runtime para Apache OpenWhisk (CVE-2018-11756)

Fecha de publicación:

23/07/2018

Idioma:

Español

En PHP Runtime para Apache OpenWhisk, una acción Docker que hereda una de las etiquetas Docker openwhisk/action-php-v7.2:1.0.0 o openwhisk/action-php-v7.1:1.0.1 (o anteriores) podría permitir que un atacante reemplace la función de usuario en el contenedor si el código de usuario es vulnerable a la explotación de código.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/11/2023

Suscribirse a Vulnerabilidades