Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Cisco Smart Licensing Utility (CVE-2024-20440)

Fecha de publicación:

04/09/2024

Idioma:

Español

Una vulnerabilidad en Cisco Smart Licensing Utility podría permitir que un atacante remoto no autenticado acceda a información confidencial. Esta vulnerabilidad se debe a un exceso de verbosidad en un archivo de registro de depuración. Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud HTTP manipulada a un dispositivo afectado. Una explotación exitosa podría permitir al atacante obtener archivos de registro que contienen datos confidenciales, incluidas las credenciales que se pueden usar para acceder a la API.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/09/2024

Vulnerabilidad en Cisco Identity Services Engine (CVE-2024-20469)

Fecha de publicación:

04/09/2024

Idioma:

Español

Una vulnerabilidad en comandos CLI específicos en Cisco Identity Services Engine (ISE) podría permitir que un atacante local autenticado realice ataques de inyección de comandos en el sistema operativo subyacente y eleve los privilegios a superusuario. Para explotar esta vulnerabilidad, el atacante debe tener privilegios de administrador válidos en un dispositivo afectado. Esta vulnerabilidad se debe a una validación insuficiente de la entrada proporcionada por el usuario. Un atacante podría explotar esta vulnerabilidad enviando un comando CLI diseñado. Una explotación exitosa podría permitir al atacante elevar los privilegios a superusuario.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/09/2025

Vulnerabilidad en Cisco Expressway Edge (CVE-2024-20497)

Fecha de publicación:

04/09/2024

Idioma:

Español

Una vulnerabilidad en Cisco Expressway Edge (Expressway-E) podría permitir que un atacante remoto autenticado se haga pasar por otro usuario en un sistema afectado. Esta vulnerabilidad se debe a comprobaciones de autorización inadecuadas para los usuarios de acceso remoto y móvil (MRA). Un atacante podría aprovechar esta vulnerabilidad ejecutando una serie de comandos manipulados específicamente para ello. Una explotación exitosa podría permitir al atacante interceptar llamadas destinadas a un número de teléfono en particular o hacer llamadas telefónicas y que ese número de teléfono aparezca en el identificador de llamadas. Para aprovechar esta vulnerabilidad con éxito, el atacante debe ser un usuario de MRA en un sistema afectado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/08/2025

Vulnerabilidad en Eclipse Vert.x (CVE-2024-8391)

Fecha de publicación:

04/09/2024

Idioma:

Español

En las versiones 4.3.0 a 4.5.9 de Eclipse Vert.x, el servidor gRPC no limita la longitud máxima del payload del mensaje (GAV de Maven: io.vertx:vertx-grpc-server y io.vertx:vertx-grpc-client). Esto se solucionó en la versión 4.5.10. Tenga en cuenta que esto no afecta a las librerías grpc-java y Netty basadas en el servidor gRPC de Vert.x (GAV de Maven: io.vertx:vertx-grpc)

Gravedad CVSS v3.1: ALTA

Última modificación:

12/09/2024

Vulnerabilidad en LinuxOSsk Shakal-NG (CVE-2024-8412)

Fecha de publicación:

04/09/2024

Idioma:

Español

Se ha encontrado una vulnerabilidad clasificada como problemática en LinuxOSsk Shakal-NG hasta la versión 1.3.3. Se ve afectada una función desconocida del archivo comments/views.py. La manipulación del argumento next provoca una redirección abierta. Es posible lanzar el ataque de forma remota. El nombre del parche es ebd1c2cba59cbac198bf2fd5a10565994d4f02cb. Se recomienda aplicar un parche para solucionar este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/09/2024

Vulnerabilidad en IBM webMethods Integration 10.15 (CVE-2024-45074)

Fecha de publicación:

04/09/2024

Idioma:

Español

IBM webMethods Integration 10.15 podría permitir que un usuario autenticado recorra directorios en el sistema. Un atacante podría enviar una solicitud de URL especialmente manipulada que contenga secuencias de "punto punto" (/../) para ver archivos arbitrarios en el sistema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/09/2024

Vulnerabilidad en IBM webMethods Integration 10.15 (CVE-2024-45075)

Fecha de publicación:

04/09/2024

Idioma:

Español

IBM webMethods Integration 10.15 podría permitir que un usuario autenticado cree tareas de planificador que le permitan escalar sus privilegios a administrador debido a la falta de autenticación.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/09/2025

Vulnerabilidad en IBM webMethods Integration 10.15 (CVE-2024-45076)

Fecha de publicación:

04/09/2024

Idioma:

Español

IBM webMethods Integration 10.15 podría permitir que un usuario autenticado cargue y ejecute archivos arbitrarios que podrían ejecutarse en el sistema operativo subyacente.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

06/09/2024

Vulnerabilidad en Flask-AppBuilder (CVE-2024-45314)

Fecha de publicación:

04/09/2024

Idioma:

Español

Flask-AppBuilder es un framework de desarrollo de aplicaciones. Antes de la versión 4.5.1, las directivas de caché predeterminadas del formulario de inicio de sesión de la base de datos de autenticación permiten que el navegador almacene localmente datos confidenciales. Esto puede ser un problema en entornos que utilizan recursos informáticos compartidos. La versión 4.5.1 contiene un parche para este problema. Si no es posible realizar la actualización, configure su servidor web para que envíe los encabezados HTTP específicos para `/login` según las instrucciones proporcionadas en el Aviso de seguridad de GitHub.

Gravedad CVSS v3.1: BAJA

Última modificación:

15/10/2025

Vulnerabilidad en Ringer (CVE-2024-45050)

Fecha de publicación:

04/09/2024

Idioma:

Español

El servidor Ringer es el código del servidor de la aplicación de mensajería Ringer. Antes de la versión 1.3.1, había un problema con la ruta de carga de mensajes en el que el servidor Ringer no verificaba que el usuario que cargaba la conversación fuera realmente miembro de esa conversación. Esto permitía que cualquier usuario con una cuenta Lif cargara cualquier conversación entre dos usuarios sin permiso. Este problema se había solucionado en la versión 1.3.1. No se requiere ninguna acción por parte de los usuarios. Las plataformas Lif actualizarán sus servidores con el parche.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/09/2024

Vulnerabilidad en Fides (CVE-2024-45052)

Fecha de publicación:

04/09/2024

Idioma:

Español

Fides es una plataforma de ingeniería de privacidad de código abierto. Antes de la versión 2.44.0, existía una vulnerabilidad de enumeración de nombres de usuario basada en el tiempo en la autenticación del servidor web de Fides. Esta vulnerabilidad permite a un atacante no autenticado determinar la existencia de nombres de usuario válidos analizando el tiempo que tarda el servidor en responder a las solicitudes de inicio de sesión. La discrepancia en los tiempos de respuesta entre nombres de usuario válidos e inválidos se puede aprovechar para enumerar usuarios en el sistema. Esta vulnerabilidad permite un ataque de enumeración de nombres de usuario basado en el tiempo. Un atacante puede adivinar y verificar sistemáticamente qué nombres de usuario son válidos midiendo el tiempo de respuesta del servidor a las solicitudes de autenticación. Esta información se puede utilizar para realizar otros ataques a la autenticación, como la fuerza bruta de contraseñas y el robo de credenciales. La vulnerabilidad se ha corregido en la versión 2.44.0 de Fides. Se recomienda a los usuarios que actualicen a esta versión o posterior para proteger sus sistemas contra esta amenaza. No hay workarounds.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/09/2024

Vulnerabilidad en Fides (CVE-2024-45053)

Fecha de publicación:

04/09/2024

Idioma:

Español

Fides es una plataforma de ingeniería de privacidad de código abierto. A partir de la versión 2.19.0 y antes de la versión 2.44.0, la función de creación de plantillas de correo electrónico utiliza Jinja2 sin la desinfección de entrada adecuada ni restricciones del entorno de renderizado, lo que permite la inyección de plantillas del lado del servidor que otorga la ejecución remota de código a usuarios privilegiados. Un usuario privilegiado se refiere a un usuario de la interfaz de usuario de administración con el rol predeterminado de "Propietario" o "Colaborador", que puede escalar su acceso y ejecutar código en el contenedor del servidor web de Fides subyacente donde se ejecuta la función de renderizado de plantillas de Jinja. La vulnerabilidad se ha corregido en la versión "2.44.0" de Fides. Se recomienda a los usuarios que actualicen a esta versión o una posterior para proteger sus sistemas contra esta amenaza. No hay workarounds.

Gravedad CVSS v3.1: ALTA

Última modificación:

06/09/2024

Suscribirse a Vulnerabilidades