Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Cisco Expressway Series (CVE-2024-20400)

Fecha de publicación:

17/07/2024

Idioma:

Español

Una vulnerabilidad en la interfaz de administración basada en web de Cisco Expressway Series podría permitir que un atacante remoto no autenticado redirija a un usuario a una página web maliciosa. Esta vulnerabilidad se debe a una validación de entrada incorrecta de los parámetros de solicitud HTTP. Un atacante podría aprovechar esta vulnerabilidad interceptando y modificando una solicitud HTTP de un usuario. Un exploit exitoso podría permitir al atacante redirigir al usuario a una página web maliciosa. Nota: La serie Cisco Expressway se refiere a los dispositivos Cisco Expressway Control (Expressway-C) y Cisco Expressway Edge (Expressway-E).

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/07/2025

Vulnerabilidad en Cisco Secure Email Gateway (CVE-2024-20401)

Fecha de publicación:

17/07/2024

Idioma:

Español

Una vulnerabilidad en las funciones de escaneo de contenido y filtrado de mensajes de Cisco Secure Email Gateway podría permitir que un atacante remoto no autenticado sobrescriba archivos arbitrarios en el sistema operativo subyacente. Esta vulnerabilidad se debe al manejo inadecuado de los archivos adjuntos de correo electrónico cuando el análisis de archivos y los filtros de contenido están habilitados. Un atacante podría aprovechar esta vulnerabilidad enviando un correo electrónico que contenga un archivo adjunto manipulado a través de un dispositivo afectado. Un exploit exitoso podría permitir al atacante reemplazar cualquier archivo en el sistema de archivos subyacente. Luego, el atacante podría realizar cualquiera de las siguientes acciones: agregar usuarios con privilegios de root, modificar la configuración del dispositivo, ejecutar código arbitrario o provocar una condición de denegación de servicio (DoS) permanente en el dispositivo afectado. Nota: Se requiere intervención manual para recuperarse de la condición DoS. Se recomienda a los clientes que se comuniquen con el Centro de asistencia técnica de Cisco (TAC) para ayudar a recuperar un dispositivo en esta condición.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

31/07/2025

Vulnerabilidad en VPN Gigabit de WAN dual Cisco RV340 y RV345 (CVE-2024-20416)

Fecha de publicación:

17/07/2024

Idioma:

Español

Una vulnerabilidad en el módulo de carga de los enrutadores VPN Gigabit de WAN dual Cisco RV340 y RV345 podría permitir que un atacante remoto autenticado ejecute código arbitrario en un dispositivo afectado. Esta vulnerabilidad se debe a comprobaciones de los límites insuficientes al procesar solicitudes HTTP específicas. Un atacante podría aprovechar esta vulnerabilidad enviando solicitudes HTTP manipuladas a un dispositivo afectado. Un exploit exitoso podría permitir al atacante ejecutar código arbitrario como usuario root en el sistema operativo subyacente del dispositivo.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/07/2024

Vulnerabilidad en Cisco Identity Services Engine (CVE-2024-20296)

Fecha de publicación:

17/07/2024

Idioma:

Español

Una vulnerabilidad en la interfaz de administración basada en web de Cisco Identity Services Engine (ISE) podría permitir que un atacante remoto autenticado cargue archivos arbitrarios en un dispositivo afectado. Para aprovechar esta vulnerabilidad, un atacante necesitaría al menos credenciales válidas de administrador de políticas en el dispositivo afectado. Esta vulnerabilidad se debe a una validación inadecuada de los archivos que se cargan en la interfaz de administración basada en web. Un atacante podría aprovechar esta vulnerabilidad cargando archivos arbitrarios en un dispositivo afectado. Un exploit exitoso podría permitir al atacante almacenar archivos maliciosos en el sistema, ejecutar comandos arbitrarios en el sistema operativo y elevar privilegios a root.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/04/2025

Vulnerabilidad en Cisco Intelligent Node (CVE-2024-20323)

Fecha de publicación:

17/07/2024

Idioma:

Español

Una vulnerabilidad en el software Cisco Intelligent Node (iNode) podría permitir que un atacante remoto no autenticado secuestrara la conexión TLS entre Cisco iNode Manager y los nodos inteligentes asociados y enviara tráfico arbitrario a un dispositivo afectado. Esta vulnerabilidad se debe a la presencia de material criptográfico codificado. Un atacante en una posición intermedia entre Cisco iNode Manager y los nodos implementados asociados podría aprovechar esta vulnerabilidad utilizando la clave criptográfica estática para generar un certificado confiable y hacerse pasar por un dispositivo afectado. Un exploit exitoso podría permitir al atacante leer datos destinados a un dispositivo legítimo, modificar la configuración de inicio de un nodo asociado y, en consecuencia, causar una condición de denegación de servicio (DoS) para los dispositivos posteriores que están conectados al nodo afectado.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/08/2025

Vulnerabilidad en Cisco Webex (CVE-2024-20395)

Fecha de publicación:

17/07/2024

Idioma:

Español

Una vulnerabilidad en la funcionalidad de recuperación de medios de la aplicación Cisco Webex podría permitir que un atacante adyacente no autenticado obtenga acceso a información confidencial de la sesión. Esta vulnerabilidad se debe a la transmisión insegura de solicitudes a servicios de backend cuando la aplicación accede a medios integrados, como imágenes. Un atacante podría aprovechar esta vulnerabilidad enviando un mensaje con medios integrados almacenados en un servidor de mensajería a un usuario objetivo. Si el atacante puede observar el tráfico transmitido en una posición privilegiada de la red, una explotación exitosa podría permitirle capturar información del token de sesión de solicitudes transmitidas de manera insegura y posiblemente reutilizar la información de la sesión capturada para tomar acciones adicionales como el usuario objetivo.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/07/2025

Vulnerabilidad en SourceCodester Simple Inventory Management System 1.0 (CVE-2024-6830)

Fecha de publicación:

17/07/2024

Idioma:

Español

Una vulnerabilidad fue encontrada en SourceCodester Simple Inventory Management System 1.0 y clasificada como crítica. Una función desconocida del archivo action.php del componente Order Handler es afectada por esta vulnerabilidad. La manipulación del argumento order_id conduce a la inyección de SQL. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-271812.

Gravedad CVSS v4.0: MEDIA

Última modificación:

17/10/2024

Vulnerabilidad en Purity//FB (CVE-2023-4976)

Fecha de publicación:

17/07/2024

Idioma:

Español

Existe una falla en Purity//FB por la cual se permite que una cuenta local se autentique en la interfaz de administración utilizando un método no deseado que permite a un atacante obtener acceso privilegiado a la matriz.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

10/04/2025

Vulnerabilidad en Streampark (CVE-2024-29120)

Fecha de publicación:

17/07/2024

Idioma:

Español

En Streampark (versión &lt;2.1.4), cuando un usuario iniciaba sesión correctamente, el servicio backend devolvía "Autorización" como credencial de autenticación de front-end. El usuario puede usar esta credencial para solicitar información de otros usuarios, incluido el nombre de usuario, la contraseña, el valor de sal, etc. del administrador. Mitigación: todos los usuarios deben actualizar a 2.1.4

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/06/2025

Vulnerabilidad en Zowe CLI (CVE-2024-6833)

Fecha de publicación:

17/07/2024

Idioma:

Español

Una vulnerabilidad en Zowe CLI permite a actores locales privilegiados almacenar credenciales seguras ingresadas previamente en un archivo de texto plano como parte de una operación de inicio automático.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/07/2024

Vulnerabilidad en APIML Spring Cloud Gateway (CVE-2024-6834)

Fecha de publicación:

17/07/2024

Idioma:

Español

Una vulnerabilidad en APIML Spring Cloud Gateway que aprovecha los privilegios del usuario mediante una solicitud de firma inesperada mediante proxy por parte del certificado de cliente de Zowe. Esto permite el acceso de un usuario a los endpoints que requieren un certificado de cliente interno sin ninguna credencial. Podría llevar a administrar componentes allí y permitir que un atacante maneje toda la comunicación, incluidas las credenciales del usuario.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

01/08/2024

Vulnerabilidad en SolarWinds Access Rights Manager (CVE-2024-23475)

Fecha de publicación:

17/07/2024

Idioma:

Español

SolarWinds Access Rights Manager era susceptible a una vulnerabilidad de divulgación de información y Directory Traversal. Esta vulnerabilidad permite que un usuario no autenticado realice una eliminación arbitraria de archivos y filtre información confidencial.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/09/2024

Suscribirse a Vulnerabilidades