Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Envoy (CVE-2024-53269)

Fecha de publicación:

18/12/2024

Idioma:

Español

Envoy es un proxy de servicio, de borde y de medio alcance de alto rendimiento nativo de la nube. Cuando las direcciones adicionales no son direcciones IP, el algoritmo de clasificación Happy Eyeballs falla en el plano de datos. Este problema se solucionó en las versiones 1.32.2, 1.31.4 y 1.30.8. Se recomienda a los usuarios que actualicen la versión. Los usuarios que no puedan actualizar pueden deshabilitar Happy Eyeballs o cambiar la configuración de IP.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/08/2025

Vulnerabilidad en Envoy (CVE-2024-53270)

Fecha de publicación:

18/12/2024

Idioma:

Español

Envoy es un proxy de servicio, de borde y de medio alcance de alto rendimiento nativo de la nube. En las versiones afectadas, `sendOverloadError` asumirá que existe la solicitud activa cuando se configura `envoy.load_shed_points.http1_server_abort_dispatch`. Si `active_request` es nullptr, solo se llama a onMessageBeginImpl(). Sin embargo, `onMessageBeginImpl` devolverá directamente el estado ok si la secuencia ya se restableció y conduce a la referencia nullptr. El restablecimiento descendente puede ocurrir durante el restablecimiento ascendente de H/2. Como resultado, Envoy puede bloquearse. Este problema se ha solucionado en las versiones 1.32.3, 1.31.5, 1.30.9 y 1.29.12. Se recomienda a los usuarios que actualicen la versión. Los usuarios que no puedan actualizar pueden deshabilitar el punto de desconexión de carga `http1_server_abort_dispatch` o usar un umbral alto.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/09/2025

Vulnerabilidad en Envoy (CVE-2024-53271)

Fecha de publicación:

18/12/2024

Idioma:

Español

Envoy es un proxy de servicio, de borde y de medio alcance de alto rendimiento nativo de la nube. En las versiones afectadas, Envoy no gestiona correctamente las respuestas 1xx no 101 de http 1.1. Esto puede provocar fallas en los dispositivos conectados en red. Este problema se ha solucionado en las versiones 1.31.5 y 1.32.3. Se recomienda a los usuarios que actualicen. No existen workarounds conocidos para este problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/09/2025

Vulnerabilidad en Misskey (CVE-2024-49363)

Fecha de publicación:

18/12/2024

Idioma:

Español

Misskey es una plataforma de redes sociales federada de código abierto. En las versiones afectadas, FileServerService (proxy multimedia) en github.com/misskey-dev/misskey 2024.10.1 o anteriores no detectó bucles de proxy, lo que permite a los actores remotos ejecutar una denegación de servicio distribuida reflejada/amplificada que se propaga por sí sola a través de una nota manipulada con fines malintencionados. FileServerService.prototype.proxyHandler no verificó que las solicitudes entrantes no provengan de otro servidor proxy. Un atacante puede ejecutar una denegación de servicio amplificada enviando una solicitud de proxy anidada al servidor y finalizar la solicitud con una redirección maliciosa a otra solicitud de proxy anidada. Esto genera una recursión ilimitada hasta que se agota el tiempo de espera de la solicitud original. Este problema se ha solucionado en la versión 2024.11.0-alpha.3. Se recomienda a los usuarios que actualicen. Los usuarios que no puedan actualizar pueden configurar el proxy inverso para bloquear las solicitudes al proxy con un encabezado User-Agent vacío o uno que contenga Misskey/. Un atacante no puede modificar eficazmente el encabezado User-Agent sin realizar otra solicitud al servidor.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/12/2024

Vulnerabilidad en IBM Corporation (CVE-2024-51470)

Fecha de publicación:

18/12/2024

Idioma:

Español

IBM MQ 9.1 LTS, 9.2 LTS, 9.3 LTS, 9.3 CD, 9.4 LTS, 9.4 CD, IBM MQ Appliance 9.3 LTS, 9.3 CD, 9.4 LTS e IBM MQ para HPE NonStop 8.1.0 a 8.1.0.25 podrían permitir que un usuario autenticado provoque una denegación de servicio debido a mensajes con valores configurados incorrectamente.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/08/2025

Vulnerabilidad en Misskey (CVE-2024-52590)

Fecha de publicación:

18/12/2024

Idioma:

Español

Misskey es una plataforma de redes sociales federada de código abierto. En las versiones afectadas, la falta de validación en `ApRequestService.signedGet` permite a un atacante crear perfiles de usuario falsos que parecen ser de una instancia diferente a la que realmente existen. Estos perfiles se pueden usar para hacerse pasar por usuarios existentes de la instancia de destino. Las instancias vulnerables de Misskey aceptarán a los usuarios falsificados como válidos, lo que permite a un atacante hacerse pasar por usuarios de otra instancia. Los atacantes tienen control total del usuario falsificado y pueden publicar, volver a anotar o interactuar de otro modo como si fuera una cuenta real. Este problema se ha solucionado en la versión 2024.11.0-alpha.3. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/11/2025

Vulnerabilidad en Misskey (CVE-2024-52591)

Fecha de publicación:

18/12/2024

Idioma:

Español

Misskey es una plataforma de redes sociales federada de código abierto. En las versiones afectadas, la falta de validación en `ApRequestService.signedGet` y `HttpRequestService.getActivityJson` permite a un atacante crear perfiles de usuario falsos y notas falsificadas. Los usuarios falsificados parecerán ser de una instancia diferente a la que realmente existen, y las notas falsificadas parecerán haber sido publicadas por un usuario diferente. Las instancias vulnerables de Misskey aceptarán los objetos falsificados como válidos, lo que permite a un atacante hacerse pasar por otros usuarios e instancias. El atacante conserva el control total del usuario/nota falsificados y puede interactuar como una cuenta real. Este problema se ha solucionado en la versión 2024.11.0-alpha.3. Se recomienda a los usuarios que actualicen. No existen workarounds conocidos para esta vulnerabilidad.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/11/2025

Vulnerabilidad en Misskey (CVE-2024-52579)

Fecha de publicación:

18/12/2024

Idioma:

Español

Misskey es una plataforma de redes sociales federada de código abierto. Algunas API que utilizan `HttpRequestService` no comprueban correctamente el host de destino. Esta vulnerabilidad permite a un atacante enviar solicitudes POST o GET al servidor interno, lo que puede resultar en un ataque SSRF. Permite a un atacante enviar solicitudes POST o GET (con algunos parámetros de URL controlables) a direcciones IP privadas, lo que permite más ataques a servidores internos. Este problema se ha solucionado en la versión 2024.11.0-alpha.3. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/11/2025

Vulnerabilidad en Misskey (CVE-2024-52592)

Fecha de publicación:

18/12/2024

Idioma:

Español

Misskey es una plataforma de redes sociales federada de código abierto. En las versiones afectadas, la falta de validación en `ApInboxService.update` permite a un atacante modificar el resultado de las encuestas que pertenecen a otro usuario. No se requiere autenticación, excepto una firma válida de cualquier actor en cualquier instancia remota. Las instancias vulnerables de Misskey aceptarán actualizaciones falsificadas para las encuestas remotas. Las encuestas locales no se ven afectadas. Este problema se ha solucionado en la versión 2024.11.0-alpha.3. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/11/2025

Vulnerabilidad en Misskey (CVE-2024-52593)

Fecha de publicación:

18/12/2024

Idioma:

Español

Misskey es una plataforma de redes sociales federada de código abierto. En las versiones afectadas, la falta de validación en `NoteCreateService.insertNote`, `ApPersonService.createPerson` y `ApPersonService.updatePerson` permite a un atacante controlar el destino de cualquier enlace de "origen" (como el banner "ver en instancia remota"). Se puede configurar cualquier URL HTTPS, incluso si pertenece a un dominio diferente al de la nota/usuario. Las instancias vulnerables de Misskey utilizarán la URL no verificada para varios enlaces en los que se puede hacer clic, lo que permite a un atacante realizar ataques de phishing u otros ataques contra usuarios remotos. Este problema se ha solucionado en la versión 2024.11.0-alpha.3. Se recomienda a los usuarios que actualicen. No existen workarounds conocidos para esta vulnerabilidad.

Gravedad CVSS v4.0: MEDIA

Última modificación:

26/11/2025

Vulnerabilidad en NI DAQExpress (CVE-2024-12741)

Fecha de publicación:

18/12/2024

Idioma:

Español

Existe una vulnerabilidad de deserialización de datos no confiables en NI DAQExpress que puede provocar la ejecución remota de código. Para explotarla con éxito, es necesario que un atacante consiga que un usuario abra un archivo de proyecto especialmente manipulado. Esta vulnerabilidad afecta a DAQExpress 5.1 y versiones anteriores. Tenga en cuenta que DAQExpress es un producto que ha alcanzado el fin de su vida útil y no recibirá actualizaciones.

Gravedad CVSS v4.0: ALTA

Última modificación:

18/12/2024