Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en MTS Simple Booking C y MTS Simple Booking Business (CVE-2018-0513)

Fecha de publicación:

08/02/2018

Idioma:

Español

Vulnerabilidad de tipo Cross-Site Scripting (XSS) en MTS Simple Booking C y MTS Simple Booking Business, en versiones 1.28.0 y anteriores, permite que los atacantes remotos inyecten scripts web o HTML arbitrarios utilizando vectores no especificados.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/03/2018

Vulnerabilidad en MagicalFinder (CVE-2018-0512)

Fecha de publicación:

08/02/2018

Idioma:

Español

Los dispositivos con la herramienta de configuración de direcciones IP MagicalFinder proporcionada por I-O DATA DEVICE, INC. permiten que atacantes autenticados ejecuten comandos arbitrarios del sistema operativo mediante vectores sin especificar.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/03/2018

Vulnerabilidad en Etherpad Lite (CVE-2018-6834)

Fecha de publicación:

08/02/2018

Idioma:

Español

static/js/pad_utils.js en Etherpad Lite, en versiones anteriores a la v1.6.3 tiene XSS mediante window.location.href.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/02/2018

Vulnerabilidad en MyBB (CVE-2018-6844)

Fecha de publicación:

08/02/2018

Idioma:

Español

MyBB 1.8.14 tiene XSS mediante los campos Title o Description en la pantalla Edit Forum.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/02/2018

Vulnerabilidad en Etherpad Lite (CVE-2018-6835)

Fecha de publicación:

08/02/2018

Idioma:

Español

node/hooks/express/apicalls.js en Etherpad Lite, en versiones anteriores a la v1.6.3, gestiona JSONP de manera incorrecta, lo que permite que atacantes remotos omitan las restricciones de acceso planeadas.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

03/10/2019

Vulnerabilidad en productos Cisco (CVE-2018-0140)

Fecha de publicación:

08/02/2018

Idioma:

Español

Una vulnerabilidad en la cuarentena de spam de Cisco Email Security Appliance y Cisco Content Security Management Appliance podría permitir que un atacante remoto autenticado descargue cualquier mensaje de la cuarentena de spam modificando la información de las cadenas del navegador. Esta vulnerabilidad se debe a la ausencia de validación de cuentas de usuario autenticado. Un atacante podría explotar esta vulnerabilidad modificando cadenas del navegador para ver mensajes enviados por otros usuarios a la cuarentena de spam en su compañía. Cisco Bug IDs: CSCvg39759, CSCvg42295.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/02/2023

Vulnerabilidad en la función netmonrec_comment_destroy en Wireshark (CVE-2018-6836)

Fecha de publicación:

08/02/2018

Idioma:

Español

La función netmonrec_comment_destroy en wiretap/netmon.c en Wireshark, hasta la versión 2.4.4, realiza una operación de liberación en una dirección de memoria no inicializada, lo que permite que atacantes remotos provoquen una denegación de servicio (cierre inesperado de la aplicación) u otro tipo de impacto sin especificar.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/11/2023

Vulnerabilidad en Cisco UCS Central (CVE-2018-0113)

Fecha de publicación:

08/02/2018

Idioma:

Español

Una vulnerabilidad en un script de operaciones de Cisco UCS Central podría permitir que un atacante remoto autenticado ejecute comandos shell arbitrarios con los privilegios del usuario del demonio. Esta vulnerabilidad se debe a una validación de entradas insuficiente. Un atacante podría explotar esta vulnerabilidad enviando una petición manipulada a la interfaz de usuario de Cisco UCS Central. Esta vulnerabilidad afecta al software Cisco UCS Central en versiones anteriores a Release 2.0(1c). Cisco Bug IDs: CSCve70825.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en el módulo de autenticación RADIUS de Cisco Policy Suite (CVE-2018-0116)

Fecha de publicación:

08/02/2018

Idioma:

Español

Una vulnerabilidad en el módulo de autenticación RADIUS de Cisco Policy Suite podría permitir que un atacante remoto no autenticado fuese autorizado como suscriptor sin proporcionar una contraseña válida; sin embargo, el atacante debe proporcionar un nombre de usuario válido. La vulnerabilidad se debe a la validación incorrecta de credenciales de usuario RADIUS. Un atacante podría explotar esta vulnerabilidad intentando acceder a un dominio de Cisco Policy Suite configurado con autenticación RADIUS. Un exploit podría permitir que el atacante fuese autorizado como suscriptor sin proporcionar una contraseña válida. Esta vulnerabilidad afecta a la aplicación Cisco Policy Suite que ejecute una versión anterior a la 13.1.0 con Hotfix Patch 1 cuando la autenticación RADIUS está configurada para un dominio. Cisco Policy Suite Release 14.0.0 también se ha visto afectado, ya que incluye código vulnerable. Sin embargo, la autenticación RADIUS no es compatible oficialmente con Cisco Policy Suite en versiones 14.0.0 y posteriores. Cisco Bug IDs: CSCvg40124.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en Cisco Virtualized Packet Core-Distributed Instance Software (CVE-2018-0117)

Fecha de publicación:

08/02/2018

Idioma:

Español

Una vulnerabilidad en la funcionalidad de procesado de paquetes de entrada de Cisco Virtualized Packet Core-Distributed Instance (VPC-DI) Software podría permitir que un atacante remoto no autenticado provoque que ambas instancias de función de control (CF) en un sistema afectado se reinicien, lo que desemboca en una condición de denegación de servicio (DoS). La vulnerabilidad se debe a la manipulación insuficiente de datos de parte del usuario por parte del software afectado. Un atacante podría explotar esta vulnerabilidad mediante el envío de tráfico malicioso a la dirección de red de la instancia distribuida (DI) interna en un sistema afectado. Un exploit con éxito podría permitir que el atacante provoque una condición de error en el sistema afectado, lo que podría causar que las instancias CF se recarguen y hagan que el VPC entero se recargue, lo que desemboca en la desconexión de todos los suscriptores y una condición DoS en el sistema afectado. La vulnerabilidad afecta a Cisco Virtualized Packet Core-Distributed Instance (VPC-DI) Software N4.0 hasta N5.5 con el sistema operativo Cisco StarOS en versiones 19.2 hasta la 21.3. Cisco Bug IDs: CSCve17656.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en Cisco Spark (CVE-2018-0119)

Fecha de publicación:

08/02/2018

Idioma:

Español

Una vulnerabilidad en ciertos controles de autenticación en los servicios de cuenta de Cisco Spark podría permitir que un atacante remoto autenticado interactúe y vea información en un dispositivo afectado que normalmente estaría prohibida. La vulnerabilidad se debe a que se muestran de forma indebida tokens de cuenta de usuario generados en el sistema. Un atacante podría explotar esta vulnerabilidad iniciando sesión en el dispositivo con un token que esté empleando otra cuenta. La explotación con éxito podría permitir que el atacante provoque un impacto parcial en la confidencialidad, integridad y disponibilidad del dispositivo. Cisco Bug IDs: CSCvg05206.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en el framework web de Cisco Unified Communications Manager (CVE-2018-0120)

Fecha de publicación:

08/02/2018

Idioma:

Español

Una vulnerabilidad en el framework web de Cisco Unified Communications Manager podría permitir que un atacante remoto autenticado lleve a cabo un ataque de inyección SQL contra un sistema afectado. Esto se debe a la imposibilidad de validar entradas proporcionadas por el usuario empleadas en consultas SQL que eluden los filtros de protección. Un atacante podría explotar esta vulnerabilidad mediante el envío de peticiones HTTP modificadas que incluyan instrucciones SQL maliciosas al sistema afectado. Si se realiza correctamente, esta vulnerabilidad podría permitir que el atacante determine la presencia de ciertos valores en la base de datos del sistema afectado. Cisco Bug IDs: CSCvg74810.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Suscribirse a Vulnerabilidades