Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Hitachi Vantara Pentaho Data Integration & Analytics (CVE-2025-24908)
Fecha de publicación:
16/04/2025
Idioma:
Español
Descripción general: El producto utiliza entradas externas para construir una ruta de acceso que debería estar dentro de un directorio restringido, pero no neutraliza correctamente las secuencias ".../...//" (doble punto y triple barra diagonal) que pueden resolverse en una ubicación fuera de ese directorio. (CWE-35) Descripción: Las versiones de Hitachi Vantara Pentaho Data Integration & Analytics anteriores a la 10.2.0.2, incluidas las 9.3.x y 8.3.x, no sanean una entrada de usuario utilizada como ruta de archivo a través del servicio UploadFile. Impacto: Esto permite a los atacantes atravesar el sistema de archivos para acceder a archivos o directorios que están fuera del directorio restringido.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/04/2025

Vulnerabilidad en Hitachi Vantara Pentaho Business Analytics Server (CVE-2025-24909)
Fecha de publicación:
16/04/2025
Idioma:
Español
Descripción general: El software no neutraliza o neutraliza incorrectamente la entrada controlable por el usuario antes de que se coloque en la salida que se usa como una página web que se sirve a otros usuarios. (CWE-79) Descripción: Hitachi Vantara Pentaho Business Analytics Server anteriores a las versiones 10.2.0.2, incluidas 9.3.x y 8.3.x, permiten que una URL maliciosa inyecte contenido en la interfaz del complemento Analyzer. Impacto Una vez que se inyecta el script malicioso, el atacante puede realizar una variedad de actividades maliciosas. El atacante podría transferir información privada, como cookies que pueden incluir información de sesión, desde la máquina de la víctima al atacante. El atacante podría enviar solicitudes maliciosas a un sitio web en nombre de la víctima, lo que podría ser especialmente peligroso para el sitio si la víctima tiene privilegios de administrador para administrar ese sitio.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/04/2025

Vulnerabilidad en Hitachi Vantara Pentaho Business Analytics Server (CVE-2025-24910)
Fecha de publicación:
16/04/2025
Idioma:
Español
Descripción general: Los documentos XML contienen opcionalmente una definición de tipo de documento (DTD), que, entre otras características, permite la definición de entidades XML. Es posible definir una entidad proporcionando una cadena de sustitución en forma de URI. Una vez leído el contenido del URI, se devuelve a la aplicación que está procesando el XML. Esta aplicación puede devolver los datos (p. ej., en un mensaje de error), exponiendo así el contenido del archivo. (CWE-611) Descripción: Las versiones de Hitachi Vantara Pentaho Business Analytics Server anteriores a la 10.2.0.2, incluidas la 9.3.x y la 8.3.x, no protegen correctamente a Pentaho Data Integration MessageSourceCrawler contra la referencia de entidad externa XML fuera de banda. Impacto Al enviar un archivo XML que define una entidad externa con un URI file://, un atacante puede provocar que la aplicación de procesamiento lea el contenido de un archivo local. Al utilizar URI con otros esquemas como http://, el atacante puede forzar a la aplicación a realizar solicitudes salientes a servidores a los que el atacante no puede acceder directamente, lo que puede usarse para eludir las restricciones del firewall u ocultar la fuente de ataques como el escaneo de puertos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/04/2025

Vulnerabilidad en Hitachi Vantara Pentaho Business Analytics Server (CVE-2025-24911)
Fecha de publicación:
16/04/2025
Idioma:
Español
Descripción general: Los documentos XML contienen opcionalmente una definición de tipo de documento (DTD), que, entre otras características, permite la definición de entidades XML. Es posible definir una entidad proporcionando una cadena de sustitución en forma de URI. Una vez leído el contenido del URI, se devuelve a la aplicación que está procesando el XML. Esta aplicación puede devolver los datos (p. ej., en un mensaje de error), exponiendo así el contenido del archivo. (CWE-611) Descripción: Las versiones de Hitachi Vantara Pentaho Business Analytics Server anteriores a la 10.2.0.2, incluidas las 9.3.x y 8.3.x, no protegen correctamente el acceso a datos XMLParserFactoryProducer contra la referencia de entidad externa XML fuera de banda. Impacto Al enviar un archivo XML que define una entidad externa con un URI file://, un atacante puede provocar que la aplicación de procesamiento lea el contenido de un archivo local. Al utilizar URI con otros esquemas como http://, el atacante puede forzar a la aplicación a realizar solicitudes salientes a servidores a los que el atacante no puede acceder directamente, lo que puede usarse para eludir las restricciones del firewall u ocultar la fuente de ataques como el escaneo de puertos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/04/2025

Vulnerabilidad en Google ChromeOS (CVE-2025-2073)
Fecha de publicación:
16/04/2025
Idioma:
Español
La lectura fuera de los límites en ip_set_bitmap_ip.c en las versiones del kernel de Google ChromeOS 6.1, 5.15, 5.10, 5.4, 4.19 en todos los dispositivos donde se utiliza Termina permite que un atacante con privilegios CAP_NET_ADMIN provoque corrupción de memoria y potencialmente escale privilegios a través de comandos ipset manipulados.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/07/2025

Vulnerabilidad en Arctera/Veritas Data Insight (CVE-2025-43704)
Fecha de publicación:
16/04/2025
Idioma:
Español
Arctera/Veritas Data Insight anterior a 7.1.2 puede enviar credenciales de texto plano cuando está configurado para usar autenticación básica HTTP a un servidor Dell Isilon OneFS.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/04/2025

Vulnerabilidad en IDENTIFICADOR NO VÁLIDO (CVE-2025-2400)
Fecha de publicación:
16/04/2025
Idioma:
Español
Razón rechazado: esta identificación de CVE ha sido rechazada o retirada por su autoridad de numeración de CVE.
Gravedad: Pendiente de análisis
Última modificación:
16/04/2025

Vulnerabilidad en Hitachi Vantara Pentaho Data Integration & Analytics (CVE-2025-0756)
Fecha de publicación:
16/04/2025
Idioma:
Español
Descripción general, el producto recibe información de un componente ascendente, pero no restringe o restringe incorrectamente la información antes de que se use como identificador para un recurso que puede estar fuera del ámbito de control previsto. (CWE-99) Descripción: las versiones de Hitachi Vantara Pentaho Data Integration & Analytics anteriores a la 10.2.0.2, incluidas las 9.3.x y 8.3.x, no restringen los identificadores JNDI durante la creación de orígenes de datos de la plataforma. Impacto Un atacante podría obtener acceso o modificar datos o recursos del sistema sensibles. Esto podría permitir el acceso a archivos o directorios protegidos, incluidos archivos de configuración y archivos que contienen información sensible, lo que puede provocar la ejecución remota de código por parte de usuarios no autorizados.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/04/2025

Vulnerabilidad en Hitachi Vantara Pentaho Business Analytics Server (CVE-2025-0757)
Fecha de publicación:
16/04/2025
Idioma:
Español
Descripción general, el software no neutraliza o neutraliza incorrectamente la entrada controlable por el usuario antes de que se coloque en la salida que se usa como una página web que se sirve a otros usuarios. (CWE-79) Descripción: Hitachi Vantara Pentaho Business Analytics Server anteriores a las versiones 10.2.0.2, incluidas 9.3.x y 8.3.x, permiten que una URL maliciosa inyecte contenido en la interfaz del complemento Analyzer. Impacto Una vez que se inyecta el script malicioso, el atacante puede realizar una variedad de actividades maliciosas. El atacante podría transferir información privada, como cookies que pueden incluir información de sesión, desde la máquina de la víctima al atacante. El atacante podría enviar solicitudes maliciosas a un sitio web en nombre de la víctima, lo que podría ser especialmente peligroso para el sitio si la víctima tiene privilegios de administrador para administrar ese sitio.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/04/2025

Vulnerabilidad en Hitachi Vantara Pentaho Business Analytics Server (CVE-2025-0758)
Fecha de publicación:
16/04/2025
Idioma:
Español
Descripción general: El producto especifica los permisos para un recurso crítico para la seguridad de forma que permita que actores no deseados lo lean o modifiquen. (CWE-732) Descripción: Hitachi Vantara Pentaho Business Analytics Server anterior a la versión 10.2.0.2, incluidas las versiones 9.3.x y 8.3.x, se instala con los beans Karaf JMX habilitados y accesibles de forma predeterminada. Impacto: Cuando se aprovecha la vulnerabilidad, un usuario con privilegios de ejecución local puede acceder a la funcionalidad expuesta por los beans Karaf del producto.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/04/2025

Vulnerabilidad en Google ChromeOS (CVE-2025-1566)
Fecha de publicación:
16/04/2025
Idioma:
Español
Una fuga de DNS en el sistema VPN nativo del canal de desarrollo de Google ChromeOS en ChromeOS 129.0.6668.36 permite que los observadores de la red expongan consultas DNS de texto simple debido a una falla en la tunelización adecuada del tráfico DNS durante las transiciones de estado de VPN.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/07/2025

Vulnerabilidad en Google ChromeOS (CVE-2025-1568)
Fecha de publicación:
16/04/2025
Idioma:
Español
Vulnerabilidad de control de acceso en la configuración del proyecto Gerrit chromiumos en Google ChromeOS 131.0.6778.268 permite a un atacante con una cuenta Gerrit registrada inyectar código malicioso en proyectos de ChromeOS y potencialmente lograr la ejecución remota de código y la denegación de servicio mediante la edición de canalizaciones confiables mediante controles de acceso insuficientes y configuraciones erróneas en project.config de Gerrit.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/07/2025
Suscribirse a Vulnerabilidades