Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-6847)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.2-rev8. Archivos SVG pueden ser usados como álbumes mp3. En caso de que su estructura XML contenga un código script, este código puede ser ejecutado cuando se llama a la URL de portada relacionada. El código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.).

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-6845)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.2-rev8. Un código script con hiperlinks en HTML E-Mails no está siendo correctamente desinfectado cuando utliliza recursos codificados base64 "data". Esto permite a un atacante proporcionar hiperlinks que podrían ejecutar un código script en lugar de dirigir a una localización adecuada. El código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.).

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-6844)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.2-rev8. El código de secuencia de comandos dentro de los archivos SVG se mantiene al abrir dichos archivos "en el navegador" en función de nuestra aplicación Correo o Drive. En el caso de las etiquetas "a", esto puede incluir objetivos de enlace con referencias de "datos" codificadas en base64. El código de script malicioso se puede ejecutar dentro del contexto de un usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.)

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-6843)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.2-rev8. Un código script puede ser inyectado en nombres de contactos. Cuando se añaden estos contactos a un grupo, el código script es ejecutado en el contexto del usuario que crea o cambia el grupo utilizando el autocompletado. En muchos casos se trata de un usuario con permisos elevados. El código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.).

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-6842)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.2-rev8. Establecer el nombre del usuario en el código JS hace que el código se ejecute cuando se selecciona la carpeta "Templates" de ese usuario desde ajustes OX Documents. Esto requiere que esa capeta sea compartida a la victima. El código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.).

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-5740)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.2-rev5. Un código JavaScript puede ser usado como parte de adjuntos ical dentro de E-Mails de programación. Este contenido, por ejemplo la ubicación de una reunión, se presentará al usuario en la aplicación de correo electrónico, dependiendo del flujo de trabajo de la invitación. Este código se ejecuta dentro del contexto de la sesión actual del usuario. El código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.).

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-5124)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.1-rev14. Añadir imágenes de recursos externos a los editores HTML con drag&drop puede potencialmente permitir una ejecución de código script en el contexto de un usuario activo. Para explotar esto, un usuario necesita ser engañado para usar una imagen de un sitio web manipulado especial y añadirla a las áreas de editor HTML de OX App Suite, por ejemplo E-Mail Compose o OX Text. Este ataque específico evita los filtros XSS y los mecanismos de detección típicos, ya que el código no se carga desde un servicio externo sino que se inyecta localmente. El código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.). Para explotar esta vulnerabilidad, un atacante necesita convencer a un usuario de seguir pasos específicos (ingeniería social).

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-4048)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.1-rev11. Los mensajes personalizados se pueden mostrar en la pantalla de inicio de sesión para notificar a los usuarios externos sobre problemas con los enlaces compartidos. Se puede abusar de este mecanismo para inyectar mensajes de texto arbitrarios. Usuarios pueden ser engañados para seguir instrucciones inyectadas por terceras partes como parte de ataques de ingeniería social.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-4047)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.1-rev8. Referencias a un documento de tipo de definiciones Open XML externo (recursos .dtd) pueden ser puestas dentro de archivos .docx y .xslx. Estos recursos se solicitaron al analizar ciertas partes del documento generado. Como resultado, un atacante puede rastrear el acceso a un documento manipulado. El uso de un documento puede ser rastreado y la información sobre la infraestructura interna puede quedar expuesta.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-4046)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.1-rev11. La API para configurar cuentas de email externas puede ser usada de forma abusiva para mapear y acceder a componentes de red dentro de los límites de confianza del operador. Usuarios pueden inyectar anfitriones y puertos arbitrarios a llamadas API. Dependiendo del tipo de respuesta, el contenido y la latencia, se puede recopilar información sobre la existencia de anfitriones y servicios. Atacantes pueden acceder a información de configuración interna sobre la infraestructura de un operador para preparar futuros ataques.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-4045)

Fecha de publicación:

15/12/2016

Idioma:

Español

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.1-rev11. Un código script se puede incorporar a las fuentes RSS mediante una notación de URL. En caso de que un usuario haga clic en el enlace correspondiente en el lector RSS de App Suite, el código se ejecuta en el contexto del usuario. El código script malicioso puede ser ejecutado en un contexto de usuario. Esto puede conducir al secuestro de sesión o activar acciones no deseadas a través de la interfaz web (envío de correo, eliminación de datos, etc.). El atacante necesita estar dentro del mismo contexto para hacer que este ataque funcione.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/04/2025

Vulnerabilidad en OX Guard de Open-Xchange (CVE-2016-4028)

Fecha de publicación:

15/12/2016

Idioma:

Español

Se descubrió un problema en OX Guard de Open-Xchange anterior a versión 2.4.0-rev8. OX Guard utiliza un token de autenticación para identificar y transferir las credenciales de usuarios invitados. La API de OX Guard actúa como un oráculo de relleno (padding oracle) al responder con diferentes códigos de error dependiendo de si el token provisto coincide con el cifrado de relleno (encryption padding). En combinación con AES-CBC, esto permite a los atacantes adivinar el relleno correcto. Los atacantes pueden ejecutar ataques violentos en el contenido del token de autenticación del invitado y detectar las credenciales del usuario. Para un vector de ataque práctico, los usuarios invitados necesitan haber iniciado sesión, el contenido de la cookie "OxReaderID" del usuario invitado y el valor del parámetro "auth" deben ser conocidos por el atacante.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/04/2025

Suscribirse a Vulnerabilidades