Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Go Project (CVE-2024-45338)

Fecha de publicación:

18/12/2024

Idioma:

Español

Un atacante puede manipular una entrada para las funciones de análisis que se procesaría de forma no lineal con respecto a su longitud, lo que daría como resultado un análisis extremadamente lento. Esto podría causar una denegación de servicio.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/02/2025

Vulnerabilidad en Craft (CVE-2024-56145)

Fecha de publicación:

18/12/2024

Idioma:

Español

Craft es un CMS flexible y fácil de usar para crear experiencias digitales personalizadas en la web y más allá. Los usuarios de las versiones afectadas se ven afectados por esta vulnerabilidad si su configuración php.ini tiene `register_argc_argv` habilitado. Para estos usuarios existe un vector de ejecución de código remoto no especificado. Se recomienda a los usuarios que actualicen a la versión 4.13.2 o 5.5.2. Los usuarios que no puedan actualizar deben deshabilitar `register_argc_argv` para mitigar el problema.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

24/10/2025

Vulnerabilidad en Astro (CVE-2024-56140)

Fecha de publicación:

18/12/2024

Idioma:

Español

Astro es un framework para sitios web basados en contenido. En las versiones afectadas, un error en el middleware de protección CSRF de Astro permite que las solicitudes eludan las comprobaciones CSRF. Cuando la opción de configuración `security.checkOrigin` se establece en `true`, el middleware Astro realizará una comprobación CSRF. Sin embargo, existe una vulnerabilidad que puede eludir esta seguridad. Se permite un parámetro delimitado por punto y coma después del tipo en `Content-Type`. Los navegadores web tratarán un `Content-Type` como `application/x-www-form-urlencoded; abc` como una `solicitud simple` y no realizarán una validación previa. En este caso, CSRF no se bloquea como se esperaba. Además, el encabezado `Content-Type` no es necesario para una solicitud. Este problema se ha solucionado en la versión 4.16.17 y se recomienda a todos los usuarios que actualicen. No existen workarounds conocidos para esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/11/2025

Vulnerabilidad en Envoy (CVE-2024-53269)

Fecha de publicación:

18/12/2024

Idioma:

Español

Envoy es un proxy de servicio, de borde y de medio alcance de alto rendimiento nativo de la nube. Cuando las direcciones adicionales no son direcciones IP, el algoritmo de clasificación Happy Eyeballs falla en el plano de datos. Este problema se solucionó en las versiones 1.32.2, 1.31.4 y 1.30.8. Se recomienda a los usuarios que actualicen la versión. Los usuarios que no puedan actualizar pueden deshabilitar Happy Eyeballs o cambiar la configuración de IP.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/08/2025

Vulnerabilidad en Envoy (CVE-2024-53270)

Fecha de publicación:

18/12/2024

Idioma:

Español

Envoy es un proxy de servicio, de borde y de medio alcance de alto rendimiento nativo de la nube. En las versiones afectadas, `sendOverloadError` asumirá que existe la solicitud activa cuando se configura `envoy.load_shed_points.http1_server_abort_dispatch`. Si `active_request` es nullptr, solo se llama a onMessageBeginImpl(). Sin embargo, `onMessageBeginImpl` devolverá directamente el estado ok si la secuencia ya se restableció y conduce a la referencia nullptr. El restablecimiento descendente puede ocurrir durante el restablecimiento ascendente de H/2. Como resultado, Envoy puede bloquearse. Este problema se ha solucionado en las versiones 1.32.3, 1.31.5, 1.30.9 y 1.29.12. Se recomienda a los usuarios que actualicen la versión. Los usuarios que no puedan actualizar pueden deshabilitar el punto de desconexión de carga `http1_server_abort_dispatch` o usar un umbral alto.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/09/2025

Vulnerabilidad en Envoy (CVE-2024-53271)

Fecha de publicación:

18/12/2024

Idioma:

Español

Envoy es un proxy de servicio, de borde y de medio alcance de alto rendimiento nativo de la nube. En las versiones afectadas, Envoy no gestiona correctamente las respuestas 1xx no 101 de http 1.1. Esto puede provocar fallas en los dispositivos conectados en red. Este problema se ha solucionado en las versiones 1.31.5 y 1.32.3. Se recomienda a los usuarios que actualicen. No existen workarounds conocidos para este problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/09/2025

Vulnerabilidad en Misskey (CVE-2024-49363)

Fecha de publicación:

18/12/2024

Idioma:

Español

Misskey es una plataforma de redes sociales federada de código abierto. En las versiones afectadas, FileServerService (proxy multimedia) en github.com/misskey-dev/misskey 2024.10.1 o anteriores no detectó bucles de proxy, lo que permite a los actores remotos ejecutar una denegación de servicio distribuida reflejada/amplificada que se propaga por sí sola a través de una nota manipulada con fines malintencionados. FileServerService.prototype.proxyHandler no verificó que las solicitudes entrantes no provengan de otro servidor proxy. Un atacante puede ejecutar una denegación de servicio amplificada enviando una solicitud de proxy anidada al servidor y finalizar la solicitud con una redirección maliciosa a otra solicitud de proxy anidada. Esto genera una recursión ilimitada hasta que se agota el tiempo de espera de la solicitud original. Este problema se ha solucionado en la versión 2024.11.0-alpha.3. Se recomienda a los usuarios que actualicen. Los usuarios que no puedan actualizar pueden configurar el proxy inverso para bloquear las solicitudes al proxy con un encabezado User-Agent vacío o uno que contenga Misskey/. Un atacante no puede modificar eficazmente el encabezado User-Agent sin realizar otra solicitud al servidor.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/12/2024

Vulnerabilidad en IBM Corporation (CVE-2024-51470)

Fecha de publicación:

18/12/2024

Idioma:

Español

IBM MQ 9.1 LTS, 9.2 LTS, 9.3 LTS, 9.3 CD, 9.4 LTS, 9.4 CD, IBM MQ Appliance 9.3 LTS, 9.3 CD, 9.4 LTS e IBM MQ para HPE NonStop 8.1.0 a 8.1.0.25 podrían permitir que un usuario autenticado provoque una denegación de servicio debido a mensajes con valores configurados incorrectamente.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/08/2025

Vulnerabilidad en Misskey (CVE-2024-52590)

Fecha de publicación:

18/12/2024

Idioma:

Español

Misskey es una plataforma de redes sociales federada de código abierto. En las versiones afectadas, la falta de validación en `ApRequestService.signedGet` permite a un atacante crear perfiles de usuario falsos que parecen ser de una instancia diferente a la que realmente existen. Estos perfiles se pueden usar para hacerse pasar por usuarios existentes de la instancia de destino. Las instancias vulnerables de Misskey aceptarán a los usuarios falsificados como válidos, lo que permite a un atacante hacerse pasar por usuarios de otra instancia. Los atacantes tienen control total del usuario falsificado y pueden publicar, volver a anotar o interactuar de otro modo como si fuera una cuenta real. Este problema se ha solucionado en la versión 2024.11.0-alpha.3. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/11/2025

Vulnerabilidad en Misskey (CVE-2024-52591)

Fecha de publicación:

18/12/2024

Idioma:

Español

Misskey es una plataforma de redes sociales federada de código abierto. En las versiones afectadas, la falta de validación en `ApRequestService.signedGet` y `HttpRequestService.getActivityJson` permite a un atacante crear perfiles de usuario falsos y notas falsificadas. Los usuarios falsificados parecerán ser de una instancia diferente a la que realmente existen, y las notas falsificadas parecerán haber sido publicadas por un usuario diferente. Las instancias vulnerables de Misskey aceptarán los objetos falsificados como válidos, lo que permite a un atacante hacerse pasar por otros usuarios e instancias. El atacante conserva el control total del usuario/nota falsificados y puede interactuar como una cuenta real. Este problema se ha solucionado en la versión 2024.11.0-alpha.3. Se recomienda a los usuarios que actualicen. No existen workarounds conocidos para esta vulnerabilidad.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/11/2025

Vulnerabilidad en Misskey (CVE-2024-52579)

Fecha de publicación:

18/12/2024

Idioma:

Español

Misskey es una plataforma de redes sociales federada de código abierto. Algunas API que utilizan `HttpRequestService` no comprueban correctamente el host de destino. Esta vulnerabilidad permite a un atacante enviar solicitudes POST o GET al servidor interno, lo que puede resultar en un ataque SSRF. Permite a un atacante enviar solicitudes POST o GET (con algunos parámetros de URL controlables) a direcciones IP privadas, lo que permite más ataques a servidores internos. Este problema se ha solucionado en la versión 2024.11.0-alpha.3. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/11/2025

Vulnerabilidad en Misskey (CVE-2024-52592)

Fecha de publicación:

18/12/2024

Idioma:

Español

Misskey es una plataforma de redes sociales federada de código abierto. En las versiones afectadas, la falta de validación en `ApInboxService.update` permite a un atacante modificar el resultado de las encuestas que pertenecen a otro usuario. No se requiere autenticación, excepto una firma válida de cualquier actor en cualquier instancia remota. Las instancias vulnerables de Misskey aceptarán actualizaciones falsificadas para las encuestas remotas. Las encuestas locales no se ven afectadas. Este problema se ha solucionado en la versión 2024.11.0-alpha.3. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/11/2025

Suscribirse a Vulnerabilidades