Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2024-11177

Fecha de publicación:
26/11/2024
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.
Gravedad: Pendiente de análisis
Última modificación:
26/11/2024

Vulnerabilidad en Google Inc. (CVE-2024-11407)

Fecha de publicación:
26/11/2024
Idioma:
Español
Existe una denegación de servicio a través de la corrupción de datos en gRPC-C++: los servidores gRPC-C++ con transmisión de copia cero habilitada a través del canal arg GRPC_ARG_TCP_TX_ZEROCOPY_ENABLED pueden experimentar problemas de corrupción de datos. Los datos enviados por la aplicación pueden corromperse antes de la transmisión a través de la red, lo que hace que el receptor reciba un conjunto incorrecto de bytes, lo que hace que las solicitudes RPC fallen. Recomendamos actualizar el commit anterior e9046b2bbebc0cb7f5dc42008f807f6c7e98e791
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/07/2025

Vulnerabilidad en Tuned (CVE-2024-52336)

Fecha de publicación:
26/11/2024
Idioma:
Español
Se identificó una vulnerabilidad de inyección de scripts en el paquete Tuned. La función `instance_create()` de D-Bus puede ser invocada por usuarios que hayan iniciado sesión localmente sin autenticación. Esta falla permite que un usuario local sin privilegios ejecute una llamada de D-Bus con opciones `script_pre` o `script_post` que permiten pasar scripts arbitrarios con sus rutas absolutas. Estos scripts o programas ejecutables controlados por el usuario o el atacante podrían ser ejecutados por Tuned con privilegios de superusuario, lo que podría permitir a los atacantes una escalada de privilegios local.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en Tuned (CVE-2024-52337)

Fecha de publicación:
26/11/2024
Idioma:
Español
Se encontró una falla de suplantación de registros en el paquete Tuned debido a una desinfección incorrecta de algunos argumentos de la API. Esta falla permite a un atacante pasar una secuencia controlada de caracteres; se pueden insertar nuevas líneas en el registro. En lugar de la línea 'evil', el atacante podría imitar una línea de registro válida de TuneD y engañar al administrador. Las comillas '' se utilizan generalmente en los registros de TuneD que citan la entrada del usuario sin procesar, por lo que siempre habrá el carácter ' al final de la entrada suplantada, y el administrador puede pasarlo por alto fácilmente. Esta cadena registrada se utiliza más tarde en el registro y en la salida de utilidades, por ejemplo, `tuned-adm get_instances` u otros programas de terceros que utilizan la interfaz D-Bus de Tuned para tales operaciones.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en Zabbix (CVE-2024-22117)

Fecha de publicación:
26/11/2024
Idioma:
Español
Cuando se agrega una URL al elemento de mapa, se registra en la base de datos con identificadores secuenciales. Al agregar una nueva URL, el sistema recupera el último valor de sysmapelementurlid y lo incrementa en uno. Sin embargo, surge un problema cuando un usuario cambia manualmente el valor de sysmapelementurlid agregando sysmapelementurlid + 1. Esta acción evita que otros agreguen URL al elemento de mapa.
Gravedad CVSS v3.1: BAJA
Última modificación:
08/10/2025

Vulnerabilidad en atob en "Zabbix JS" (CVE-2024-36463)

Fecha de publicación:
26/11/2024
Idioma:
Español
La implementación de atob en "Zabbix JS" permite crear una cadena con contenido arbitrario y usarla para acceder a las propiedades internas de los objetos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/10/2025

Vulnerabilidad en Elementor Website Builder – More than Just a Page Builder para WordPress (CVE-2024-8236)

Fecha de publicación:
26/11/2024
Idioma:
Español
El complemento Elementor Website Builder – More than Just a Page Builder para WordPress es vulnerable a cross-site scripting almacenada a través del parámetro 'url' del widget de ícono en todas las versiones hasta la 3.25.7 incluida, debido a una desinfección de entrada y un escape de salida insuficientes. Esto permite que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten secuencias de comandos web arbitrarias en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/04/2025

Vulnerabilidad en Total Upkeep – WordPress Backup Plugin plus Restore & Migrate de BoldGrid para WordPress (CVE-2024-9461)

Fecha de publicación:
26/11/2024
Idioma:
Español
El complemento Total Upkeep – WordPress Backup Plugin plus Restore & Migrate de BoldGrid para WordPress es vulnerable a la ejecución remota de código en todas las versiones hasta la 1.16.6 incluida a través del parámetro cron_interval. Esto se debe a la falta de validación y desinfección de entradas. Esto hace posible que atacantes autenticados, con acceso de nivel de administrador o superior, ejecuten código en el servidor.
Gravedad CVSS v3.1: ALTA
Última modificación:
22/05/2025

Vulnerabilidad en NSD570 (CVE-2024-9928)

Fecha de publicación:
26/11/2024
Idioma:
Español
Existe una vulnerabilidad en el panel de inicio de sesión de NSD570 que no restringe los intentos de autenticación excesivos. Si se explota, esto podría provocar la apropiación de cuentas y el acceso no autorizado al sistema cuando un atacante realiza ataques de fuerza bruta contra el inicio de sesión del equipo. Tenga en cuenta que el sistema solo admite una sesión simultánea e implementa un retraso de más de un segundo entre los intentos de inicio de sesión fallidos, lo que dificulta la automatización de los ataques.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en NSD570 (CVE-2024-9929)

Fecha de publicación:
26/11/2024
Idioma:
Español
Existe una vulnerabilidad en NSD570 que permite a cualquier usuario autenticado acceder a todos los registros del dispositivo revelando información de inicio de sesión con marcas de tiempo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en Firefox (CVE-2024-53975)

Fecha de publicación:
26/11/2024
Idioma:
Español
Acceder a un sitio HTTP no seguro que utiliza un puerto inexistente puede provocar que el icono del candado SSL en la barra de URL de ubicación parezca seguro, de manera engañosa. Esta vulnerabilidad afecta a Firefox para iOS < 133.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/10/2025

Vulnerabilidad en Firefox (CVE-2024-53976)

Fecha de publicación:
26/11/2024
Idioma:
Español
En determinadas circunstancias, al navegar a una página web, la dirección no aparecía en la barra de direcciones URL, por lo que no quedaba claro cuál era la URL de la página web cargada. Esta vulnerabilidad afecta a Firefox para iOS < 133.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/04/2025