Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en HM de WordPress Stripe Donation and Payment Plugin (CVE-2024-50459)

Fecha de publicación:
29/10/2024
Idioma:
Español
La vulnerabilidad de autorización faltante en el complemento HM de WordPress Stripe Donation and Payment Plugin permite explotar los niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta al complemento HM de WordPress Stripe Donation and Payment Plugin: desde n/a hasta 3.2.3.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/04/2026

Vulnerabilidad en response.links de Express (CVE-2024-10491)

Fecha de publicación:
29/10/2024
Idioma:
Español
Se ha identificado una vulnerabilidad en la función response.links de Express, que permite la inyección arbitraria de recursos en el encabezado Link cuando se utilizan datos no desinfectados. El problema surge de una desinfección incorrecta en los valores del encabezado `Link`, que puede permitir una combinación de caracteres como `,`, `;` y `<>` para precargar recursos maliciosos. Esta vulnerabilidad es especialmente relevante para los parámetros dinámicos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/01/2026

Vulnerabilidad en Asio C++ Library (CVE-2019-25219)

Fecha de publicación:
29/10/2024
Idioma:
Español
La Biblioteca Asio C++ anterior a la versión 1.13.0 carece de un código de error de respaldo en el caso de SSL_ERROR_SYSCALL sin información de error asociada de la biblioteca SSL que se esté utilizando.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en FileOrganizer – Manage WordPress and Website Files para WordPress (CVE-2024-7985)

Fecha de publicación:
29/10/2024
Idioma:
Español
El complemento FileOrganizer – Manage WordPress and Website Files para WordPress es vulnerable a la carga de archivos arbitrarios debido a la falta de validación del tipo de archivo en la función "fileorganizer_ajax_handler" en todas las versiones hasta la 1.0.9 incluida. Esto permite que atacantes autenticados, con acceso de nivel de suscriptor o superior, y permisos otorgados por un administrador, carguen archivos arbitrarios en el servidor del sitio afectado, lo que puede hacer posible la ejecución remota de código. NOTA: El complemento FileOrganizer Pro debe estar instalado y activo para permitir que los usuarios de nivel de suscriptor+ carguen archivos.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/11/2024

Vulnerabilidad en ServiceNow (CVE-2024-8923)

Fecha de publicación:
29/10/2024
Idioma:
Español
ServiceNow ha solucionado una vulnerabilidad de validación de entrada que se identificó en Now Platform. Esta vulnerabilidad podría permitir que un usuario no autenticado ejecute código de forma remota dentro del contexto de Now Platform. ServiceNow implementó una actualización en las instancias alojadas y proporcionó la actualización a nuestros socios y clientes alojados por ellos mismos. Además, la vulnerabilidad se soluciona en los parches y correcciones urgentes que se indican.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
27/11/2024

Vulnerabilidad en Grafana Labs (CVE-2024-10452)

Fecha de publicación:
29/10/2024
Idioma:
Español
Los administradores de la organización pueden eliminar las invitaciones pendientes creadas en una organización de la que no forman parte.
Gravedad CVSS v3.1: BAJA
Última modificación:
08/11/2024

Vulnerabilidad en PingAM (CVE-2024-25566)

Fecha de publicación:
29/10/2024
Idioma:
Español
Existe una vulnerabilidad de redireccionamiento abierto en PingAM, en la que las solicitudes bien manipuladas pueden provocar una validación incorrecta de las URL de redireccionamiento. Esto podría permitir que un atacante redirija a los usuarios finales a sitios maliciosos bajo su control, lo que simplifica los ataques de phishing.
Gravedad CVSS v4.0: MEDIA
Última modificación:
08/11/2024

Vulnerabilidad en Waitress (CVE-2024-49769)

Fecha de publicación:
29/10/2024
Idioma:
Español
Waitress es un servidor de interfaz de puerta de enlace de servidor web para Python 2 y 3. Cuando un cliente remoto cierra la conexión antes de que waitress haya tenido la oportunidad de llamar a getpeername(), waitress no limpiará correctamente la conexión, lo que lleva al hilo principal a intentar escribir en un socket que ya no existe, pero no lo eliminará de la lista de sockets que se intentarán procesar. Esto conduce a un bucle de actividad que llama a la función de escritura. Un atacante remoto podría dejar a waitress sin sockets disponibles y requerir muy pocos recursos. Waitress 3.0.1 contiene correcciones que eliminan la condición de carrera.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2024

Vulnerabilidad en Scoold (CVE-2024-50334)

Fecha de publicación:
29/10/2024
Idioma:
Español
Scoold es una plataforma de preguntas y respuestas y de intercambio de conocimientos para equipos. Se encontró una vulnerabilidad de inyección de ruta de punto y coma en el endpoint /api;/config. Al agregar un punto y coma en la URL, los atacantes pueden omitir la autenticación y obtener acceso no autorizado a datos de configuración confidenciales. Además, las solicitudes PUT en el endpoint /api;/config mientras se configura el encabezado Content-Type: application/hocon permiten a los atacantes no autenticados leer archivos a través de la inclusión de archivos HOCON. Esto permite a los atacantes recuperar información confidencial, como archivos de configuración, del servidor, que se puede aprovechar para una mayor explotación. La vulnerabilidad se ha corregido en Scoold 1.64.0. Una solución alternativa sería deshabilitar la API de Scoold con scoold.api_enabled = false.
Gravedad CVSS v4.0: ALTA
Última modificación:
08/11/2024

Vulnerabilidad en Waitress (CVE-2024-49768)

Fecha de publicación:
29/10/2024
Idioma:
Español
Waitress es un servidor de interfaz de puerta de enlace de servidor web para Python 2 y 3. Un cliente remoto puede enviar una solicitud que tenga exactamente recv_bytes (el valor predeterminado es 8192), seguida de una solicitud secundaria mediante canalización HTTP. Cuando la búsqueda anticipada de solicitudes está deshabilitada (valor predeterminado), no leeremos más solicitudes y, cuando la primera solicitud falla debido a un error de análisis, simplemente cerramos la conexión. Sin embargo, cuando la búsqueda anticipada de solicitudes está habilitada, es posible procesar y recibir la primera solicitud, comenzar a enviar el mensaje de error al cliente mientras leemos la siguiente solicitud y la ponemos en cola. Esto permitirá que el subproceso de trabajo atienda la solicitud secundaria mientras la conexión debería estar cerrada. Waitress 3.0.1 corrige la condición de ejecución. Como solución alternativa, deshabilite channel_request_lookahead, que se establece en 0 de manera predeterminada, lo que deshabilita esta función.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2024

Vulnerabilidad en Kyverno (CVE-2024-48921)

Fecha de publicación:
29/10/2024
Idioma:
Español
Kyverno es un motor de políticas diseñado para Kubernetes. Una ClusterPolicy de Kyverno, es decir, "disallow-privileged-containers", se puede anular mediante la creación de una PolicyException en un espacio de nombres aleatorio. Por diseño, las PolicyExceptions se consumen desde cualquier espacio de nombres. Es posible que los administradores no reconozcan que esto permite que los usuarios con privilegios en espacios de nombres que no sean de Kyverno creen excepciones. Esta vulnerabilidad se solucionó en la versión 1.13.0.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/11/2024

Vulnerabilidad en PHPGurukul Online DJ Booking Management System v1.0 (CVE-2024-51075)

Fecha de publicación:
29/10/2024
Idioma:
Español
Se encontró una vulnerabilidad de Cross Site Scripting reflejado (XSS) en /odms/admin/user-search.php en PHPGurukul Online DJ Booking Management System v1.0, que permite a atacantes remotos ejecutar código arbitrario a través del parámetro searchdata.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/11/2024