Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Proxygen (CVE-2018-6332)

Fecha de publicación:
03/12/2018
Idioma:
Español
Un problema de denegación de servicio (DoS) potencial en la gestión de Proxygen de configuraciones HTTP2 no válidas puede provocar que el servidor emplee una cantidad desproporcionada de recursos. Esto afecta a todas las versiones soportadas de HHVM (3.24.3 y 3.21.7 y anteriores) cuando se utiliza el servidor proxygen para gestionar peticiones HTTP2.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026

Vulnerabilidad en gnutls (CVE-2018-16868)

Fecha de publicación:
03/12/2018
Idioma:
Español
Se ha detectado un ataque de oráculo de relleno basado en canales laterales de tipo Bleichenbacher en la manera en la que gnutls maneja la verificación de los datos PKCS#1 v1.5 descifrados de un cifrado RSA. Un atacante que sea capaz de ejecutar un proceso en el mismo núcleo físico que el proceso víctima podría usarlo para extraer texto plano o, en algunos casos, desactualizar algunas conexiones TLS a un servidor vulnerable.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026

Vulnerabilidad en nettle (CVE-2018-16869)

Fecha de publicación:
03/12/2018
Idioma:
Español
Se ha detectado un ataque de oráculo de relleno basado en canales laterales de tipo Bleichenbacher en la manera en la que nettle maneja la conversión endian de los datos PKCS#1 v1.5 descifrados de un cifrado RSA. Un atacante que sea capaz de ejecutar un proceso en el mismo núcleo físico que el proceso víctima podría usar este fallo para extraer texto plano o, en algunos casos, desactualizar algunas conexiones TLS a un servidor vulnerable.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026

Vulnerabilidad en PolicyKit (CVE-2018-19788)

Fecha de publicación:
03/12/2018
Idioma:
Español
Se ha detectado un fallo en PolicyKit (también conocido como polkit) 0.115 que permite que un usuario con una uid mayor que INT_MAX ejecute con éxito cualquier comando systemctl.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/06/2026

Vulnerabilidad en LiteSpeed OpenLiteSpeed (CVE-2018-19791)

Fecha de publicación:
03/12/2018
Idioma:
Español
El servidor en LiteSpeed OpenLiteSpeed en versiones anteriores a la 1.5.0 RC6 no manipula correctamente las peticiones para secuencias de bytes, permitiendo a un atacante que amplíe el tamaño de la respuesta al solicitar el cuerpo completo de la respuesta de manera repetida, tal y como queda demostrado con con un valor de cabecera HTTP Range que empieza por la subcadena "bytes=0-,0-".
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026

Vulnerabilidad en LiteSpeed OpenLiteSpeed (CVE-2018-19792)

Fecha de publicación:
03/12/2018
Idioma:
Español
El servidor en LiteSpeed OpenLiteSpeed en versiones anteriores a la 1.5.0 RC6 permite que los usuarios locales provoquen una denegación de servicio (desbordamiento de búfer) o, posiblemente, otro impacto creando un enlace simbólico mediante el cual el programa openlitespeed puede ser invocado con un nombre de comando largo (incluyendo caracteres ../) que se manipula incorrectamente en la función LshttpdMain::getServerRootFromExecutablePath.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026

Vulnerabilidad en jiacrontab (CVE-2018-19793)

Fecha de publicación:
03/12/2018
Idioma:
Español
jiacrontab 1.4.5 permite que los atacantes remotos ejecuten comandos arbitrarios mediante los parámetros command y args en crontab/task/edit?addr=localhost%3a20001, tal y como queda demostrado con command=catargs=/etc/passwd en los datos POST.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/06/2026

Vulnerabilidad en Internet2 Grouper (CVE-2018-19794)

Fecha de publicación:
03/12/2018
Idioma:
Español
Vulnerabilidad Cross-Site Scripting (XSS) en UiV2Public.index en Internet2 Grouper 2.2 y 2.3 permite que atacantes remotos inyecten scripts web o HTML arbitrarios mediante el parámetro code.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026

Vulnerabilidad en ChipsBank UMPTool (CVE-2018-19795)

Fecha de publicación:
03/12/2018
Idioma:
Español
ChipsBank UMPTool guarda la contraseña en el NAND con un simple cifrado de sustitución, lo que permite que los atacantes obtengan acceso total cuando tienen acceso físico al dispositivo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026

Vulnerabilidad en el plugin Ninja Forms para WordPress (CVE-2018-19796)

Fecha de publicación:
03/12/2018
Idioma:
Español
Una redirección abierta en el plugin Ninja Forms en versiones anteriores a la 3.3.19.1 para WordPress permite que los atacantes remotos redirijan a un usuario mediante el parámetro redirect en lib/StepProcessing/step-processing.php (también conocido como submissions download page).
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026

Vulnerabilidad en LibSass (CVE-2018-19797)

Fecha de publicación:
03/12/2018
Idioma:
Español
En LibSass 3.5.5, una desreferencia de puntero NULL en la función Sass::Selector_List::populate_extends en SharedPtr.hpp (utilizado por ast.cpp y ast_selectors.cpp) podría provocar una denegación de servicio (cierre inesperado) mediante un archivo de entrada sass manipulado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026

Vulnerabilidad en lxml (CVE-2018-19787)

Fecha de publicación:
02/12/2018
Idioma:
Español
Se ha descubierto un problema en lxml en versiones anteriores a la 4.2.5. lxml/html/clean.py en el módulo lxml.html.clean no elimina las URL javascript: que utilizan escapado, permitiendo que un atacante remoto realice ataques Cross-Site Scripting (XSS), tal y como queda demostrado con "j a v a s c r i p t:" en Internet Explorer. Este es un problema aparte, pero similar a CVE-2014-3146.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026