Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en webuidesigning NebulaX Theme (CVE-2018-25106)

Fecha de publicación:

23/12/2024

Idioma:

Español

Una vulnerabilidad clasificada como crítica ha sido encontrada en webuidesigning NebulaX Theme hasta 5.0 en WordPress. Este problema afecta la función nebula_send_to_hubspot del archivo libs/Legacy/Legacy.php. La manipulación conduce a la inyección de SQL. El ataque puede iniciarse de forma remota. El parche se llama 41230a81db0f671c570c2644bc2f80565ca83c5a. Se recomienda aplicar un parche para solucionar este problema.

Gravedad CVSS v4.0: MEDIA

Última modificación:

23/12/2024

Vulnerabilidad en ColdFusion (CVE-2024-53961)

Fecha de publicación:

23/12/2024

Idioma:

Español

Las versiones 2023.11, 2021.17 y anteriores de ColdFusion se ven afectadas por una vulnerabilidad de limitación inadecuada de un nombre de ruta a un directorio restringido ("Path Traversal") que podría provocar una lectura arbitraria del sistema de archivos. Un atacante podría aprovechar esta vulnerabilidad para acceder a archivos o directorios que se encuentran fuera del directorio restringido establecido por la aplicación. Esto podría dar lugar a la divulgación de información confidencial o la manipulación de datos del sistema.

Gravedad CVSS v3.1: ALTA

Última modificación:

16/04/2025

Vulnerabilidad en Home-Gallery.org (CVE-2024-53275)

Fecha de publicación:

23/12/2024

Idioma:

Español

Home-Gallery.org es una galería web autohospedada de código abierto para explorar fotografías y vídeos personales. En 1.15.0 y versiones anteriores, la configuración predeterminada de la galería de inicio es vulnerable a la nueva vinculación de DNS. La galería de inicio está configurada sin TLS ni autenticación de usuario de forma predeterminada, lo que la deja vulnerable a la nueva vinculación de DNS. En este ataque, un atacante pedirá al usuario que visite su sitio web. Luego, el sitio web del atacante cambiará los registros DNS de su dominio de su dirección IP a la dirección IP interna de la instancia de la galería de inicio. Para saber qué direcciones IP son válidas, podemos volver a vincular un subdominio a cada dirección IP que queramos verificar y ver si hay una respuesta. Una vez que se han encontrado candidatos potenciales, el atacante puede lanzar el ataque leyendo la respuesta del servidor web después de que la dirección IP haya cambiado. Cuando se recupera el dominio del atacante, la respuesta será de la instancia de la galería de inicio, no del sitio web del atacante, porque se cambió la dirección IP. Debido a la falta de autenticación, el sitio web del atacante puede extraer las fotos de la galería de inicio.

Gravedad CVSS v4.0: MEDIA

Última modificación:

18/02/2025

Vulnerabilidad en Home-Gallery.org (CVE-2024-53276)

Fecha de publicación:

23/12/2024

Idioma:

Español

Home-Gallery.org es una galería web autohospedada de código abierto para explorar fotografías y vídeos personales. En 1.15.0 y versiones anteriores, una política CORS abierta en app.js puede permitir que un atacante vea las imágenes de la galería de inicio cuando usa la configuración predeterminada. El siguiente middleware rápido permite que cualquier sitio web realice cross-site request a la galería de inicio, lo que les permite leer cualquier endpoint en la galería de inicio. Home-gallery está mayoritariamente a salvo de cross-site requests debido a que la mayoría de sus páginas requieren JavaScript, y cross-site requests como fetch() no representan javascript. Si un atacante puede obtener la ruta de las imágenes de vista previa que son aleatorias, podrá ver dicha foto. Si en el futuro se introducen archivos estáticos o endpoints que contengan información confidencial, el sitio web de un atacante podrá acceder a ellos.

Gravedad CVSS v4.0: MEDIA

Última modificación:

18/02/2025

Vulnerabilidad en Navidrome (CVE-2024-56362)

Fecha de publicación:

23/12/2024

Idioma:

Español

Navidrome es un servidor y transmisor de colección de música basado en web de código abierto. Navidrome almacena el secreto JWT en texto plano en el archivo de base de datos navidrome.db en la tabla de propiedades. Esta práctica introduce un riesgo de seguridad porque cualquiera que tenga acceso al archivo de la base de datos puede recuperar el secreto. Esta vulnerabilidad se solucionó en 0.54.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/08/2025

Vulnerabilidad en APTRS (CVE-2024-56363)

Fecha de publicación:

23/12/2024

Idioma:

Español

APTRS (Sistema automatizado de informes de pruebas de penetración) es una herramienta de informes automatizada basada en Python y Django manipulada para evaluadores de penetración y organizaciones de seguridad. En 1.0, hay una vulnerabilidad en la gestión por parte de la aplicación web de la entrada proporcionada por el usuario que se incorpora a una plantilla Jinja2. Específicamente, cuando la entrada del usuario se desinfecta o valida incorrectamente, un atacante puede inyectar la sintaxis de Jinja2 en la plantilla, lo que hace que el servidor ejecute código arbitrario. Por ejemplo, un atacante podría inyectar expresiones como {{ config }}, {{ self.class.mro[1].subclasses() }} o payloads más peligrosos que desencadenan la ejecución de código Python arbitrario. La vulnerabilidad se puede reproducir enviando entradas manipuladas a todos los campos de plantilla manejados por ckeditor, que se pasan directamente a una plantilla Jinja2. Si la entrada se procesa sin una desinfección suficiente, se produce la ejecución de código Jinja2 malicioso en el servidor.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/12/2024

Vulnerabilidad en libxml2 (CVE-2024-40896)

Fecha de publicación:

23/12/2024

Idioma:

Español

En libxml2 2.11 anterior a 2.11.9, 2.12 anterior a 2.12.9 y 2.13 anterior a 2.13.3, el analizador SAX puede producir eventos para entidades externas incluso si los controladores SAX personalizados intentan anular el contenido de la entidad (estableciendo "marcado"). Esto hace posibles los ataques XXE clásicos.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

25/11/2025

Vulnerabilidad en Gogs (CVE-2024-54148)

Fecha de publicación:

23/12/2024

Idioma:

Español

Gogs es un servicio Git autohospedado de código abierto. Un usuario malintencionado puede enviar y editar un archivo de enlace simbólico manipulado en un repositorio para obtener acceso SSH al servidor. La vulnerabilidad se solucionó en 0.13.1.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/04/2025

Vulnerabilidad en Gogs (CVE-2024-55947)

Fecha de publicación:

23/12/2024

Idioma:

Español

Gogs es un servicio Git autohospedado de código abierto. Un usuario malintencionado puede escribir un archivo en una ruta arbitraria del servidor para obtener acceso SSH al servidor. La vulnerabilidad se solucionó en 0.13.1.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/04/2025

Vulnerabilidad en Jinja (CVE-2024-56201)

Fecha de publicación:

23/12/2024

Idioma:

Español

Jinja es un motor de plantillas extensible. Antes de 3.1.5, un error en el compilador de Jinja permitía a un atacante que controlaba tanto el contenido como el nombre de archivo de una plantilla ejecutar código Python arbitrario, independientemente de si se utilizaba el entorno limitado de Jinja. Para aprovechar la vulnerabilidad, un atacante necesita controlar tanto el nombre del archivo como el contenido de una plantilla. Que ese sea el caso depende del tipo de aplicación que utilice Jinja. Esta vulnerabilidad afecta a los usuarios de aplicaciones que ejecutan plantillas que no son de confianza donde el autor de la plantilla también puede elegir el nombre del archivo de la plantilla. Esta vulnerabilidad se solucionó en 3.1.5.

Gravedad CVSS v4.0: MEDIA

Última modificación:

22/09/2025

Vulnerabilidad en SimpleXLSX (CVE-2024-56364)

Fecha de publicación:

23/12/2024

Idioma:

Español

SimpleXLSX es un software para analizar y recuperar datos de archivos Excel XLSx. A partir de 1.0.12 y finalizando en 1.1.13, al llamar al método toHTMLEx extendido, es posible ejecutar código JavaScript arbitrario. Esta vulnerabilidad se solucionó en 1.1.13.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/12/2024

Vulnerabilidad en Jinja (CVE-2024-56326)

Fecha de publicación:

23/12/2024

Idioma:

Español

Jinja es un motor de plantillas extensible. Antes de la versión 3.1.5, una supervisión de cómo el entorno aislado de Jinja detecta llamadas a str.format permitía a un atacante que controlaba el contenido de una plantilla ejecutar código Python arbitrario. Para aprovechar la vulnerabilidad, un atacante necesita controlar el contenido de una plantilla. Que ese sea el caso depende del tipo de aplicación que utilice Jinja. Esta vulnerabilidad afecta a los usuarios de aplicaciones que ejecutan plantillas que no son de confianza. El sandbox de Jinja capta llamadas a str.format y garantiza que no escapen de la sandbox. Sin embargo, es posible almacenar una referencia al método de formato de una cadena maliciosa y luego pasarla a un filtro que lo llame. Estos filtros no están integrados en Jinja, pero podrían estar presentes a través de filtros personalizados en una aplicación. Después de la solución, estas llamadas indirectas también son gestionadas por la sandbox. Esta vulnerabilidad se solucionó en 3.1.5.

Gravedad CVSS v4.0: MEDIA

Última modificación:

03/11/2025

Suscribirse a Vulnerabilidades