Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Jellyfin (CVE-2024-43801)

Fecha de publicación:

02/09/2024

Idioma:

Español

Jellyfin es un servidor multimedia alojado en un servidor propio de código abierto. La carga de la imagen de perfil de usuario de Jellyfin acepta archivos SVG, lo que permite un ataque XSS almacenado contra un usuario administrador a través de un archivo SVG malicioso especialmente manipulado. Cuando un administrador lo ve fuera de la interfaz web de Jellyfin (por ejemplo, a través de "ver imagen" en un navegador), este archivo SVG malicioso podría interactuar con el almacenamiento local del navegador y recuperar un token de acceso, que a su vez se puede utilizar en una llamada de API para elevar al usuario objetivo a un administrador de Jellyfin. Es poco probable que se explote el vector de ataque real, ya que requiere acciones específicas por parte del administrador para ver la imagen SVG fuera de la interfaz web de Jellyfin, es decir, no es un ataque pasivo. El mecanismo de explotación subyacente se resuelve con la PR #12490, que obliga a que las imágenes adjuntas (incluido el SVG potencialmente malicioso) se traten como archivos adjuntos y, por lo tanto, se descarguen por los navegadores, en lugar de verse. Esto evita la explotación del almacenamiento local del navegador. Esta PR se ha fusionado y los cambios de código relevantes se incluyen en la versión de lanzamiento 10.9.10. Se recomienda a todos los usuarios que actualicen.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/10/2024

Vulnerabilidad en gix-path (CVE-2024-45305)

Fecha de publicación:

02/09/2024

Idioma:

Español

gix-path es un paquete del proyecto gitoxide que se ocupa de las rutas de Git y sus conversiones. `gix-path` ejecuta `git` para encontrar la ruta de un archivo de configuración que pertenece a la instalación de `git`, pero trata por error la configuración del repositorio local como de todo el sistema si no se encuentra una configuración de alcance superior. En casos excepcionales, esto hace que un repositorio menos confiable sea tratado como más confiable, o filtra información confidencial de un repositorio a otro, como enviar credenciales al control remoto de otro repositorio. En `gix_path::env`, la implementación subyacente de las funciones `installation_config` e `installation_config_prefix` llama a `git config -l --show-origin` y analiza la primera línea de la salida para extraer la ruta al archivo de configuración que contiene la variable de configuración de alcance más alto. Se cree que es muy difícil explotar esta vulnerabilidad deliberadamente, debido a la necesidad de anticipar una situación en la que las variables de configuración de alcance superior estarían ausentes, o de hacer arreglos para que esto suceda. Aunque cualquier sistema operativo puede verse afectado, los usuarios que ejecutan Apple Git en macOS tienen muchas menos probabilidades de verse afectados. Este problema se ha solucionado en la versión 0.10.10. Se recomienda a todos los usuarios que actualicen la versión.

Gravedad CVSS v3.1: BAJA

Última modificación:

03/09/2024

Vulnerabilidad en Vim (CVE-2024-45306)

Fecha de publicación:

02/09/2024

Idioma:

Español

Vim es un editor de texto de línea de comandos de código abierto. El parche v9.1.0038 optimizó la forma en que se calcula la posición del cursor y eliminó un bucle que verificaba que la posición del cursor siempre apuntara dentro de una línea y no se volviera inválida al apuntar más allá del final de una línea. En ese entonces, asumimos que este bucle era innecesario. Sin embargo, este cambio hizo posible que la posición del cursor permaneciera inválida y apuntara más allá del final de una línea, lo que eventualmente causaría un desbordamiento del búfer de pila al intentar acceder al puntero de línea en la posición del cursor especificada. Aún no está del todo claro qué puede llevar a esta situación en la que el cursor apunta a una posición inválida. Es por eso que el parche v9.1.0707 no incluye un caso de prueba. El único impacto observado ha sido un bloqueo del programa. Este problema se ha solucionado con el parche v9.1.0707. Se recomienda a todos los usuarios que actualicen.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/10/2024

Vulnerabilidad en kernel de Linux (CVE-2024-44947)

Fecha de publicación:

02/09/2024

Idioma:

Español

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: fuse: inicializar el contenido de la página más allá del EOF antes de configurar uptodate fuse_notify_store(), a diferencia de fuse_do_readpage(), no habilita la puesta a cero de la página (porque se puede usar para cambiar el contenido parcial de la página). Por lo tanto, fuse_notify_store() debe ser más cuidadoso para inicializar por completo el contenido de la página (incluidas las partes de la página que están más allá del fin del archivo) antes de marcar la página como actualizada. El código actual puede dejar el contenido de la página más allá del EOF sin inicializar, lo que hace que este contenido de página no inicializado sea visible para el espacio de usuario a través de mmap(). Esta es una fuga de información, pero solo afecta a los sistemas que no habilitan init-on-alloc (a través de CONFIG_INIT_ON_ALLOC_DEFAULT_ON=y o el parámetro de línea de comandos del kernel correspondiente).

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/11/2025

Vulnerabilidad en GitHub (CVE-2024-42471)

Fecha de publicación:

02/09/2024

Idioma:

Español

acciones/artifact es el kit de herramientas de GitHub para desarrollar acciones de GitHub. Las versiones de `actions/artifact` anteriores a la 2.1.7 son vulnerables a la escritura arbitraria de archivos cuando se usa `downloadArtifactInternal`, `downloadArtifactPublic` o `streamExtractExternal` para extraer un artefacto manipulado específicamente que contiene nombres de archivos de path traversal. Se recomienda a los usuarios que actualicen a la versión 2.1.7 o superior. No existen workarounds para este problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/08/2025

Vulnerabilidad en Halo (CVE-2024-43792)

Fecha de publicación:

02/09/2024

Idioma:

Español

Halo es una herramienta de código abierto para crear sitios web. Se ha identificado una vulnerabilidad de seguridad en versiones anteriores a la 2.17.0 del proyecto Halo. Esta vulnerabilidad permite a un atacante ejecutar secuencias de comandos maliciosas en el navegador del usuario a través de código HTML y JavaScript específico, lo que puede provocar un ataque de Cross-site Scripting (XSS). Se recomienda a los usuarios que actualicen a la versión 2.17.0+. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/09/2024

Vulnerabilidad en eLabFTW (CVE-2024-28100)

Fecha de publicación:

02/09/2024

Idioma:

Español

eLabFTW es un cuaderno de laboratorio electrónico de código abierto para laboratorios de investigación. Al cargar archivos especialmente manipulados, un usuario normal puede crear una situación en la que el navegador de un visitante ejecute código JavaScript arbitrario en el contexto de la aplicación eLabFTW. Esto puede ser provocado por el visitante que ve una lista de experimentos. Al ver esto, el script malicioso puede actuar en nombre del visitante de cualquier manera, incluida la creación de claves API para la persistencia u otras opciones normalmente disponibles para el usuario. Si el usuario que ve la página tiene el rol de administrador de sistemas en eLabFTW, el script puede actuar como administrador de sistemas (incluida la configuración del sistema y roles de administración de usuarios extensos). Se recomienda a los usuarios que actualicen al menos a la versión 5.0.0. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/09/2024

Vulnerabilidad en Secure Systems Engineering Connaisseur (CVE-2023-7279)

Fecha de publicación:

02/09/2024

Idioma:

Español

Se ha encontrado una vulnerabilidad en Secure Systems Engineering Connaisseur hasta la versión 3.3.0 y se ha clasificado como problemática. Esta vulnerabilidad afecta al código desconocido del archivo connaisseur/res/targets_schema.json del componente Delegation Name Handler. La manipulación conduce a una complejidad ineficiente de las expresiones regulares. La complejidad de un ataque es bastante alta. La explotación parece ser difícil. La actualización a la versión 3.3.1 puede solucionar este problema. El nombre del parche es 524b73ff7306707f6d3a4d1e86401479bca91b02. Se recomienda actualizar el componente afectado.

Gravedad CVSS v4.0: BAJA

Última modificación:

01/11/2024

Vulnerabilidad en nescalante urlregex (CVE-2020-36830)

Fecha de publicación:

02/09/2024

Idioma:

Español

Se ha encontrado una vulnerabilidad en nescalante urlregex hasta la versión 0.5.0 y se ha clasificado como problemática. Este problema afecta a un procesamiento desconocido del archivo index.js del componente Backtracking. La manipulación provoca una complejidad ineficiente de las expresiones regulares. El ataque puede iniciarse de forma remota. El exploit se ha hecho público y puede utilizarse. La actualización a la versión 0.5.1 puede solucionar este problema. El identificador del parche es e5a085afe6abfaea1d1a78f54c45af9ef43ca1f9. Se recomienda actualizar el componente afectado.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/09/2024

Vulnerabilidad en 3DDashboard (CVE-2024-7932)

Fecha de publicación:

02/09/2024

Idioma:

Español

Una vulnerabilidad de Cross-site Scripting (XSS) Almacenado que afecta a 3DDashboard en 3DSwymer Release en 3DEXPERIENCE R2024x permite a un atacante ejecutar código de script arbitrario en la sesión del navegador del usuario.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/09/2024

Vulnerabilidad en 3DDashboard (CVE-2024-7938)

Fecha de publicación:

02/09/2024

Idioma:

Español

Una vulnerabilidad de Cross-site Scripting (XSS) Almacenado que afecta a 3DDashboard en 3DSwymer desde la versión 3DEXPERIENCE R2023x hasta la versión 3DEXPERIENCE R2024x permite a un atacante ejecutar código de script arbitrario en la sesión del navegador del usuario.

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/09/2024

Vulnerabilidad en 3DSwym (CVE-2024-7939)

Fecha de publicación:

02/09/2024

Idioma:

Español

Una vulnerabilidad de Cross-site Scripting (XSS) Almacenado que afecta a 3DSwym en la versión 3DSwymer en 3DEXPERIENCE R2024x permite a un atacante ejecutar código de script arbitrario en la sesión del navegador del usuario.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/09/2024

Suscribirse a Vulnerabilidades