Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en PostgreSQL (CVE-2024-27289)

Fecha de publicación:

06/03/2024

Idioma:

Español

pgx es un controlador PostgreSQL y un conjunto de herramientas para Go. Antes de la versión 4.18.2, la inyección SQL puede ocurrir cuando se cumplen todas las condiciones siguientes: se utiliza el protocolo simple no predeterminado; un marcador de posición para un valor numérico debe ir precedido inmediatamente de un signo menos; debe haber un segundo marcador de posición para un valor de cadena después del primer marcador de posición; ambos deben estar en la misma línea; y ambos valores de parámetros deben ser controlados por el usuario. El problema se resuelve en v4.18.2. Como solución alternativa, no utilice el protocolo simple ni coloque un signo menos directamente antes de un marcador de posición.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/06/2025

Vulnerabilidad en ESPHome (CVE-2024-27287)

Fecha de publicación:

06/03/2024

Idioma:

Español

ESPHome es un sistema para controlar su ESP8266/ESP32 para sistemas de domótica. A partir de la versión 2023.12.9 y antes de la versión 2024.2.2, la edición del archivo de configuración API en el componente del panel de ESPHome versión 2023.12.9 (instalación de línea de comando y complemento Home Assistant) proporciona datos no desinfectados con `Tipo de contenido: texto/ HTML; charset=UTF-8`, lo que permite a un usuario autenticado remoto inyectar secuencias de comandos web arbitrarias y extraer cookies de sesión mediante secuencias de comandos entre sitios. Es posible que un usuario autenticado malicioso inyecte Javascript arbitrario en archivos de configuración mediante una solicitud POST al punto final /edit; el parámetro de configuración permite especificar el archivo a escribir. Para activar la vulnerabilidad XSS, la víctima debe visitar la página ` /edit?configuration=[archivo xss]`. Al abusar de esta vulnerabilidad, un actor malintencionado podría realizar operaciones en el tablero en nombre de un usuario registrado, acceder a información confidencial, crear, editar y eliminar archivos de configuración y actualizar firmware en tableros administrados. Además de esto, las cookies no están protegidas correctamente, lo que permite la filtración de los valores de las cookies de sesión. La versión 2024.2.2 contiene un parche para este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/03/2024

Vulnerabilidad en 1Panel (CVE-2024-27288)

Fecha de publicación:

06/03/2024

Idioma:

Español

1Panel es un panel de gestión de operación y mantenimiento de servidores Linux de código abierto. Antes de la versión 1.10.1-lts, los usuarios podían usar Burp para obtener acceso no autorizado a la página de la consola. La vulnerabilidad se ha solucionado en v1.10.1-lts. No se conocen workarounds.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/02/2025

Vulnerabilidad en Squid (CVE-2024-25111)

Fecha de publicación:

06/03/2024

Idioma:

Español

Squid es un caché de proxy web. A partir de la versión 3.5.27 y antes de la versión 6.8, Squid puede ser vulnerable a un ataque de denegación de servicio contra el decodificador HTTP fragmentado debido a un error de recursividad no controlado. Este problema permite a un atacante remoto provocar una denegación de servicio al enviar un mensaje HTTP codificado, fragmentado y manipulado. Este error se solucionó en la versión 6.8 de Squid. Además, los parches que solucionan este problema para las versiones estables se pueden encontrar en los archivos de parches de Squid. No hay workaround para este problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/04/2025

Vulnerabilidad en CasaOS-UserService (CVE-2024-24766)

Fecha de publicación:

06/03/2024

Idioma:

Español

CasaOS-UserService proporciona funcionalidades de gestión de usuarios a CasaOS. A partir de la versión 0.4.4.3 y antes de la versión 0.4.7, la página de inicio de sesión de Casa OS reveló la vulnerabilidad de enumeración de nombres de usuario en la página de inicio de sesión. Un atacante puede enumerar el nombre de usuario de CasaOS utilizando la respuesta de la aplicación. Si el nombre de usuario es incorrecto, la aplicación muestra el error `**El usuario no existe**`. Si la contraseña es incorrecta, la aplicación muestra el error `**Contraseña no válida**`. La versión 0.4.7 soluciona este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/05/2025

Vulnerabilidad en Galette (CVE-2024-24761)

Fecha de publicación:

06/03/2024

Idioma:

Español

Galette es una aplicación web de gestión de membresías para organizaciones sin fines de lucro. A partir de la versión 1.0.0 y antes de la versión 1.0.2, las páginas públicas están restringidas de forma predeterminada solo a administradores y miembros del personal. Desde la configuración es posible restringir a miembros actualizados o a todos. La versión 1.0.2 soluciona este problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

17/12/2024

Vulnerabilidad en Pega Platform (CVE-2023-50167)

Fecha de publicación:

06/03/2024

Idioma:

Español

Pega Platform de 7.1.7 a 23.1.1 se ve afectada por un problema XSS con la edición/presentación de contenido html del usuario.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/02/2025

Vulnerabilidad en CasaOS-UserService (CVE-2024-24765)

Fecha de publicación:

06/03/2024

Idioma:

Español

CasaOS-UserService proporciona funcionalidades de gestión de usuarios a CasaOS. Antes de la versión 0.4.7, el filtrado de rutas de la URL para los archivos de imágenes de avatar de usuario no era estricto, lo que hacía posible obtener cualquier archivo en el sistema. Esto podría permitir que un actor no autorizado acceda, por ejemplo, a la base de datos de usuarios de CasaOS y posiblemente obtenga privilegios de raíz del sistema. La versión 0.4.7 soluciona este problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/02/2025

Vulnerabilidad en CasaOS-UserService (CVE-2024-24767)

Fecha de publicación:

06/03/2024

Idioma:

Español

CasaOS-UserService proporciona funcionalidades de gestión de usuarios a CasaOS. A partir de la versión 0.4.4.3 y anteriores a la versión 0.4.7, CasaOS no defiende contra ataques de fuerza bruta a contraseñas, lo que lleva a tener acceso completo al servidor. La aplicación web carece de control sobre los intentos de inicio de sesión. Esta vulnerabilidad permite a los atacantes obtener acceso a nivel de superusuario al servidor. La versión 0.4.7 contiene un parche para este problema.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/04/2025

Vulnerabilidad en eProsima Fast DDS (CVE-2023-50716)

Fecha de publicación:

06/03/2024

Idioma:

Español

eProsima Fast DDS (anteriormente Fast RTPS) es una implementación en C++ del estándar del Servicio de distribución de datos del Object Management Group. Antes de las versiones 2.13.0, 2.12.2, 2.11.3, 2.10.3 y 2.6.7, un submensaje DATA_FRAG no válido provoca un error sin errores y el proceso Fast-DDS se puede finalizar de forma remota. Si se envía un paquete Data_Frag no válido, el miembro `Inline_qos, SerializedPayload` del objeto `ch` intentará liberar memoria sin inicialización, lo que generará un error de "libre de errores". Las versiones 2.13.0, 2.12.2, 2.11.3, 2.10.2 y 2.6.7 solucionan este problema.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

16/04/2025

Vulnerabilidad en Jenkins (CVE-2024-2216)

Fecha de publicación:

06/03/2024

Idioma:

Español

Una verificación de permiso faltante en un punto final HTTP en el complemento Docker-build-step de Jenkins 2.11 y versiones anteriores permite a los atacantes con permiso general/lectura conectarse a una URL de socket TCP o Unix especificada por el atacante y reconfigurar el complemento utilizando los parámetros de prueba de conexión proporcionados, lo que afecta las ejecuciones futuras de pasos de compilación.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/08/2024

Vulnerabilidad en Jenkins (CVE-2024-2215)

Fecha de publicación:

06/03/2024

Idioma:

Español

Una vulnerabilidad de falsificación de solicitud entre sitios (CSRF) en el complemento Docker-build-step de Jenkins 2.11 y versiones anteriores permite a los atacantes conectarse a una URL de socket TCP o Unix especificada por el atacante y reconfigurar el complemento utilizando los parámetros de prueba de conexión proporcionados, afectando las futuras ejecuciones de pasos de construcción.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/10/2024

Suscribirse a Vulnerabilidades