Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en WeGIA (CVE-2025-24902)

Fecha de publicación:

03/02/2025

Idioma:

Español

WeGIA es un administrador web para instituciones de beneficencia. Se descubrió una vulnerabilidad de inyección SQL en la aplicación WeGIA, `salvar_cargo.php` endpoint. Esta vulnerabilidad podría permitir que un atacante autorizado ejecute consultas SQL arbitrarias, lo que permitiría el acceso o la eliminación de información confidencial. Este problema se ha solucionado en la versión 3.2.12 y se recomienda a todos los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

22/08/2025

Vulnerabilidad en WeGIA (CVE-2025-24905)

Fecha de publicación:

03/02/2025

Idioma:

Español

WeGIA es un administrador web para instituciones de beneficencia. Se descubrió una vulnerabilidad de inyección SQL en la aplicación WeGIA, `get_codigobarras_cobranca.php` endpoint. Esta vulnerabilidad podría permitir que un atacante autorizado ejecute consultas SQL arbitrarias, lo que permitiría el acceso o la eliminación de información confidencial. Este problema se ha solucionado en la versión 3.2.12 y se recomienda a todos los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/02/2025

Vulnerabilidad en WeGIA (CVE-2025-24906)

Fecha de publicación:

03/02/2025

Idioma:

Español

WeGIA es un administrador web para instituciones de beneficencia. Se descubrió una vulnerabilidad de inyección SQL en la aplicación WeGIA, `get_detalhes_cobranca.php` endpoint. Esta vulnerabilidad podría permitir que un atacante autorizado ejecute consultas SQL arbitrarias, lo que permitiría el acceso o la eliminación de información confidencial. Este problema se ha solucionado en la versión 3.2.12 y se recomienda a todos los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/02/2025

Vulnerabilidad en Wazuh (CVE-2024-35177)

Fecha de publicación:

03/02/2025

Idioma:

Español

Wazuh es una plataforma gratuita y de código abierto que se utiliza para la prevención, detección y respuesta ante amenazas. Es capaz de proteger cargas de trabajo en entornos locales, virtualizados, en contenedores y basados ??en la nube. El agente wazuh para Windows es vulnerable a una vulnerabilidad de escalada de privilegios locales debido a una ACL incorrecta del directorio de instalación no predeterminado. Un usuario malintencionado local podría explotar esta vulnerabilidad colocando una de las muchas DLL que están cargadas y no están presentes en sistema en la carpeta de instalación del agente O reemplazando el binario ejecutable del servicio por uno malintencionado. La causa principal es una ACL incorrecta aplicada en la carpeta de instalación cuando se especifica una ruta de instalación no predeterminada (p. ej., C:\wazuh). Muchas DLL se cargan desde la carpeta de instalación y, al crear una DLL maliciosa que exporta las funciones de una legítima (y que no se encuentra en el directorio sistema donde está instalado el agente, como rsync.dll), es posible escalar privilegios de un usuario con pocos privilegios y obtener la ejecución de código en el contexto de NT AUsistemaY\SYSTEM. Este problema se ha solucionado en la versión 4.9.0 y se recomienda a todos los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

16/09/2025

Vulnerabilidad en Wazuh (CVE-2024-47770)

Fecha de publicación:

03/02/2025

Idioma:

Español

Wazuh es una plataforma gratuita y de código abierto que se utiliza para la prevención, detección y respuesta ante amenazas. Es capaz de proteger cargas de trabajo en entornos locales, virtualizados, en contenedores basados en la nube. Esta vulnerabilidad se produce cuando sistema tiene un acceso con privilegios débiles, lo que permite a un atacante realizar una escalada de privilegios. En este caso, el atacante puede ver la lista de agentes en el panel de Wazuh sin acceso con privilegios. Este problema se ha solucionado en la versión 4.9.1 y se recomienda a todos los usuarios que la actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/09/2025

Vulnerabilidad en Jellystat (CVE-2025-24960)

Fecha de publicación:

03/02/2025

Idioma:

Español

Jellystat es una aplicación de estadísticas de código abierto y gratuita para Jellyfin. En las versiones afectadas, Jellystat utiliza directamente la entrada del usuario en las rutas. Esto puede provocar vulnerabilidades Path Traversal. Dado que esta funcionalidad es solo para administradores, hay muy poco margen para el abuso. Sin embargo, el comando `DELETE` `files/:filename` se puede utilizar para eliminar cualquier archivo. Este problema se ha solucionado en la versión 1.1.3. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/02/2025

Vulnerabilidad en org.gaul S3Proxy (CVE-2025-24961)

Fecha de publicación:

03/02/2025

Idioma:

Español

org.gaul S3Proxy implementa la API de S3 y envía solicitudes de proxy. Los usuarios de los backends de almacenamiento filesystem y filesystem-nio2 podrían exponer archivos locales a otros usuarios de forma involuntaria. Este problema se ha solucionado en la versión 2.6.0. Se recomienda a los usuarios que actualicen la versión. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v4.0: MEDIA

Última modificación:

03/02/2025

Vulnerabilidad en reNgine (CVE-2025-24962)

Fecha de publicación:

03/02/2025

Idioma:

Español

reNgine es un sistema de reconocimiento automatizado framework para aplicaciones web. En las versiones afectadas, un usuario puede inyectar comandos a través de los parámetros nmap_cmd. Este problema se ha solucionado en commit `c28e5c8d` y se espera que aparezca en la próxima versión. Se recomienda a los usuarios filtrar la entrada de los usuarios y supervisar el proyecto en busca de una nueva versión.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/05/2025

Vulnerabilidad en reNgine (CVE-2025-24899)

Fecha de publicación:

03/02/2025

Idioma:

Español

reNgine es un framework de reconocimiento automatizado para aplicaciones web. Se descubrió una vulnerabilidad en reNgine, donde **un atacante interno con cualquier rol** (como Auditor, Penetration Tester o Sys Admin) **puede extraer información confidencial de otros usuarios de reNgine.** Después de ejecutar un análisis y obtener vulnerabilidades de un objetivo, el atacante puede recuperar detalles como `nombre de usuario`, `contraseña`, `correo electrónico`, `rol`, `nombre`, `apellido`, `estado` e `información de actividad` al realizar una solicitud GET a `/api/listVulnerability/`. Este problema se ha solucionado en la versión 2.2.0 y se recomienda a todos los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v4.0: ALTA

Última modificación:

13/05/2025

Vulnerabilidad en zx (CVE-2025-24959)

Fecha de publicación:

03/02/2025

Idioma:

Español

zx es una herramienta para escribir mejor scripts. Un atacante con control sobre los valores de las variables de entorno puede inyectar variables de entorno no deseadas en `process.env`. Esto puede provocar la ejecución arbitraria de comandos o un comportamiento inesperado en aplicaciones que dependen de las variables de entorno para operaciones sensibles a la seguridad. Las aplicaciones que procesan entradas no confiables y las pasan a través de `dotenv.stringify` son particularmente vulnerables. Este problema se ha corregido en la versión 8.3.2. Los usuarios deben actualizar inmediatamente a esta versión para mitigar la vulnerabilidad. Si la actualización no es posible, los usuarios pueden mitigar la vulnerabilidad mediante Desinfectando valores de variables de entorno controlados por el usuario antes de pasarlos a `dotenv.stringify`. Específicamente, evite usar `"`, `&#39;` y comillas simples invertidas en los valores, o aplique una validación estricta de las variables de entorno antes del uso.

Gravedad CVSS v4.0: BAJA

Última modificación:

03/02/2025

Vulnerabilidad en Polycom RealPresence Group 500 (CVE-2025-22918)

Fecha de publicación:

03/02/2025

Idioma:

Español

Polycom RealPresence Group 500 &lt;=20 tiene permisos inseguros debido a la carga automática de cookies. Esto permite el uso de funciones de administrador, lo que da como resultado la filtración de información confidencial del usuario.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/03/2025

Vulnerabilidad en Django-Unicorn (CVE-2025-24370)

Fecha de publicación:

03/02/2025

Idioma:

Español

Django-Unicorn agrega funcionalidad de componente reactivo moderno a las plantillas de Django. Las versiones afectadas de Django-Unicorn son vulnerables a la vulnerabilidad de contaminación de clases de Python. La vulnerabilidad surge de la funcionalidad principal `set_property_value`, que puede ser activada remotamente por los usuarios al manipular solicitudes de componentes apropiadas y proporcionar valores del segundo y tercer parámetro a la función vulnerable, lo que lleva a cambios arbitrarios en el estado de ejecución de Python. Con este hallazgo, se han observado al menos cinco formas de explotación de vulnerabilidades, que resultan de manera estable en ataques de Cross-Site Scripting (XSS), Denial of Service (DoS) y Authentication Bypass en casi todas las aplicaciones basadas en Django-Unicorn. Este problema se ha solucionado en la versión 0.62.0 y se recomienda a todos los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

03/02/2025

Suscribirse a Vulnerabilidades