Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en curl (CVE-2010-3842)

Fecha de publicación:
28/10/2010
Idioma:
Español
Vulnerabilidad de salto de directorio absoluto en curl v7.20.0 hasta v7.21.1, cuando se utiliza la opción --remote-header-name o -J, permite a los servidores remotos crear o sobreescribir archivos arbitrarios mediante el uso de \ (barra invertida) como un separador de componentes de la ruta dentro de la cabecera HTTP Content-disposition.
Gravedad CVSS v2.0: MEDIA
Última modificación:
11/04/2025

Vulnerabilidad en Thunderbird y SeaMonkey de Mozilla (CVE-2010-3765)

Fecha de publicación:
28/10/2010
Idioma:
Español
Firefox versiones 3.5.x hasta 3.5.14 y versiones 3.6.x hasta 3.6.11, Thunderbird versiones 3.1.6 anteriores a 3.1.6 y versiones 3.0.x anteriores a 3.0.10, y SeaMonkey versiones 2.x anteriores a 2.0.10, de Mozilla, cuando JavaScript está habilitado, permite a los atacantes remotos ejecutar código arbitrario por medio de vectores relacionados con nsCSSFrameConstructor::ContentAppended, el método appendChild, el seguimiento incorrecto de índices y la creación de varias tramas, lo que desencadena corrupción de memoria, como se explotó “in the wild” en octubre de 2010 por el malware Belmoo.
Gravedad CVSS v2.0: ALTA
Última modificación:
11/04/2025

Vulnerabilidad en Ruby on Rails (CVE-2010-3933)

Fecha de publicación:
28/10/2010
Idioma:
Español
Ruby on Rails v2.3.9 y v3.0.0 no controla correctamente los atributos anidados, lo cual permite a atacantes remotos modificar registros a su elección, cambiando los nombres de los parámetros por formularios de entrada.
Gravedad CVSS v2.0: MEDIA
Última modificación:
11/04/2025

Vulnerabilidad en UseBB (CVE-2010-3713)

Fecha de publicación:
28/10/2010
Idioma:
Español
rss.php en UseBB anterior a v1.0.11 no controla correctamente las configuraciones de foro en el que un usuario tiene el permiso de vista, pero no el permiso de lectura, lo cual permite a atacantes remotos evitar las restricciones de acceso previsto mediante la lectura de un feed de un foro en combinación con una feed de un tema.
Gravedad CVSS v2.0: MEDIA
Última modificación:
11/04/2025

Vulnerabilidad en Pidgin (CVE-2010-3711)

Fecha de publicación:
28/10/2010
Idioma:
Español
libpurple en Pidgin anterior a v2.7.4 no valida correctamente el valor de retorno de la función purple_base64_decode, lo cual permite a usuarios remotos autenticados causar una denegación de servicio (desreferencia de puntero nulo y cuelgue de la aplicación) a través de un mensaje hecho a mano, relacionado con los plugins para el MSN, MySpaceIM, XMPP y Yahoo y con el soporte de autenticación NTLM.
Gravedad CVSS v2.0: MEDIA
Última modificación:
11/04/2025

Vulnerabilidad en Joomla (CVE-2010-3712)

Fecha de publicación:
28/10/2010
Idioma:
Español
Vulnerabilidad de tipo cross-site scripting (XSS) en Joomla!, versiones 1.5.x anteriores a 1.5.21 y versiones 1.6.x anteriores a 1.6.1, permite a los atacantes remotos inyectar script web o HTML arbitrario por medio de vectores que implican "multiple encoded entities", como es demostrado por la cadena de consulta a el archivo index.php en el componente com_weblinks o com_content.
Gravedad CVSS v2.0: MEDIA
Última modificación:
11/04/2025

Vulnerabilidad en libsmi (CVE-2010-2891)

Fecha de publicación:
28/10/2010
Idioma:
Español
Desbordamiento de búfer en la función smiGetNode en lib/smi.c en libsmi v0.4.8 permite a atacantes dependientes de contexto ejecutar código arbitrario a través de un identificador de objeto (también conocido como OID), representado como una cadena numérica que contiene muchos componentes separados por caracteres . (punto).
Gravedad CVSS v2.0: ALTA
Última modificación:
11/04/2025

Vulnerabilidad en Monotone (CVE-2010-4098)

Fecha de publicación:
27/10/2010
Idioma:
Español
Monotone antes de v0.48.1, cuando está configurado para permitir los comandos remotos, permite a atacantes remotos causar una denegación de servicio (cuelgue) a través de un argumento vacío a el comando mtn.
Gravedad CVSS v2.0: MEDIA
Última modificación:
11/04/2025

Vulnerabilidad en NitroSecurity NitroView ESM (CVE-2010-4099)

Fecha de publicación:
27/10/2010
Idioma:
Español
ess.pm en NitroSecurity NitroView ESM v8.4.0a, cuando ESSPMDebug está activada, permite a atacantes remotos ejecutar comandos arbitrarios a través de metacaracteres de shell en el parámetro Request a ess.
Gravedad CVSS v2.0: MEDIA
Última modificación:
11/04/2025

Vulnerabilidad en Aardvark Topsites PHP (CVE-2010-4097)

Fecha de publicación:
27/10/2010
Idioma:
Español
Múltiples vulnerabilidades de ejecución de comandos en sitios cruzados (XSS) en index.php en Aardvark Topsites PHP v5.2.0 y v5.2.1 permite a atacantes remotos inyectar secuencias de comandos web o HTML a través del parámetro (1) mail , (2) title, (3) u y (4) url. NOTA: el parámetro q ya está cubierto por CVE-2009-2302.
Gravedad CVSS v2.0: MEDIA
Última modificación:
11/04/2025

Vulnerabilidad en Monkeysphere (CVE-2010-4096)

Fecha de publicación:
27/10/2010
Idioma:
Español
share/ma/keys_for_user en Monkeysphere v0.31 y v0.32 permite a usuarios locales ejecutar código a su elección a través de manipulaciones desconocidos relacionados con el comando "monkeysphere-authentication keys-for-user".
Gravedad CVSS v2.0: MEDIA
Última modificación:
11/04/2025

Vulnerabilidad en mfc42.dll en the Microsoft Foundation Class (MFC) Library (CVE-2010-3227)

Fecha de publicación:
26/10/2010
Idioma:
Español
Desbordamiento de búfer de pila en el método UpdateFrameTitleForDocument en la clase CFrameWnd en mfc42.dll en Microsoft Foundation Class (MFC) Library en Microsoft Windows XP SP2 y SP3, Windows Server 2003 SP2, Windows Vista SP1 y SP2, Windows Server 2008 Gold, SP2, y R2, y Windows 7 permite a atacantes dependientes del contexto ejecutar código de su elección a través de un título largo window, librería que trata de crear una petición de aplicación, como queda demostrado en la aplicación Trident PowerZip 7.2 Build 4010, también conocido como " Vulnerabilidad de desbordamiento de búfer Windows MFC Document Title Updating."
Gravedad CVSS v2.0: ALTA
Última modificación:
11/04/2025