Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-20873
Fecha de publicación:
20/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** In Spring Boot versions 3.0.0 - 3.0.5, 2.7.0 - 2.7.10, and older unsupported versions, an application that is deployed to Cloud Foundry could be susceptible to a security bypass. Users of affected versions should apply the following mitigation: 3.0.x users should upgrade to 3.0.6+. 2.7.x users should upgrade to 2.7.11+. Users of older, unsupported versions should upgrade to 3.0.6+ or 2.7.11+.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/05/2025

CVE-2023-2176
Fecha de publicación:
20/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was found in compare_netdev_and_ip in drivers/infiniband/core/cma.c in RDMA in the Linux Kernel. The improper cleanup results in out-of-boundary read, where a local user can utilize this problem to crash the system or escalation of privilege.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/05/2025

CVE-2023-27090
Fecha de publicación:
20/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** Cross Site Scripting vulnerability found in TeaCMS storage allows attacker to cause a leak of sensitive information via the article title parameter.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/02/2025

CVE-2023-22295
Fecha de publicación:
20/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** Datakit CrossCadWare_x64.dll contains an out of bounds read past the end of an allocated buffer while parsing a specially crafted SLDPRT file. This vulnerability could allow an attacker to disclose sensitive information.<br /> <br />
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/05/2023

CVE-2023-22321
Fecha de publicación:
20/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** <br /> <br /> <br /> Datakit CrossCadWare_x64.dll contains an out-of-bounds read past the end of an allocated buffer while parsing a specially crafted SLDPRT file. This vulnerability could allow an attacker to disclose sensitive information. <br /> <br /> <br /> <br />
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/05/2023

CVE-2023-22354
Fecha de publicación:
20/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** <br /> <br /> <br /> <br /> <br /> Datakit CrossCadWare_x64.dll contains an out-of-bounds read past the end of an allocated buffer while parsing a specially crafted SLDPRT file. This vulnerability could allow an attacker to disclose sensitive information. <br /> <br /> <br /> <br /> <br /> <br />
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/05/2023

CVE-2023-22846
Fecha de publicación:
20/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** <br /> <br /> <br /> <br /> <br /> <br /> <br /> Datakit CrossCadWare_x64.dll contains an out-of-bounds read past the end of an allocated buffer while parsing a specially crafted SLDPRT file. This vulnerability could allow an attacker to disclose sensitive information. <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br />
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/05/2023

CVE-2023-23579
Fecha de publicación:
20/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> Datakit CrossCadWare_x64.dll contains an out-of-bounds write past the end of an allocated buffer while parsing a specially crafted SLDPRT file. This could allow an attacker to execute code in the context of the current process. <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br />
Gravedad CVSS v3.1: ALTA
Última modificación:
02/05/2023

CVE-2023-30076
Fecha de publicación:
20/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** Sourcecodester Judging Management System v1.0 is vulnerable to SQL Injection via /php-jms/print_judges.php?print_judges.php=&amp;se_name=&amp;sub_event_id=.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/02/2025

CVE-2023-29528
Fecha de publicación:
20/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** XWiki Commons are technical libraries common to several other top level XWiki projects. The "restricted" mode of the HTML cleaner in XWiki, introduced in version 4.2-milestone-1 and massively improved in version 14.6-rc-1, allowed the injection of arbitrary HTML code and thus cross-site scripting via invalid HTML comments. As a consequence, any code relying on this "restricted" mode for security is vulnerable to JavaScript injection ("cross-site scripting"/XSS). When a privileged user with programming rights visits such a comment in XWiki, the malicious JavaScript code is executed in the context of the user session. This allows server-side code execution with programming rights, impacting the confidentiality, integrity and availability of the XWiki instance. This problem has been patched in XWiki 14.10, HTML comments are now removed in restricted mode and a check has been introduced that ensures that comments don&amp;#39;t start with `&gt;`. There are no known workarounds apart from upgrading to a version including the fix.<br />
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
01/05/2023

CVE-2023-30616
Fecha de publicación:
20/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** Form block is a wordpress plugin designed to make form creation easier. Versions prior to 1.0.2 are subject to a Cross-Site Request Forgery due to a missing nonce check. There is potential for a Cross Site Request Forgery for all form blocks, since it allows to send requests to the forms from any website without a user noticing. Users are advised to upgrade to version 1.0.2. There are no known workarounds for this vulnerability.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/05/2023

CVE-2023-27495
Fecha de publicación:
20/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** @fastify/csrf-protection is a plugin which helps protect Fastify servers against CSRF attacks. The CSRF protection enforced by the @fastify/csrf-protection library in combination with @fastify/cookie can be bypassed from network and same-site attackers under certain conditions. @fastify/csrf-protection supports an optional userInfo parameter that binds the CSRF token to the user. This parameter has been introduced to prevent cookie-tossing attacks as a fix for CVE-2021-29624. Whenever userInfo parameter is missing, or its value can be predicted for the target user account, network and same-site attackers can 1. fixate a _csrf cookie in the victim&amp;#39;s browser, and 2. forge CSRF tokens that are valid for the victim&amp;#39;s session. This allows attackers to bypass the CSRF protection mechanism. As a fix, @fastify/csrf-protection starting from version 6.3.0 (and v4.1.0) includes a server-defined secret hmacKey that cryptographically binds the CSRF token to the value of the _csrf cookie and the userInfo parameter, making tokens non-spoofable by attackers. This protection is effective as long as the userInfo parameter is unique for each user. This is patched in versions 6.3.0 and v4.1.0. Users are advised to upgrade. Users unable to upgrade may use a random, non-predictable userInfo parameter for each user as a mitigation.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/05/2023
Suscribirse a Vulnerabilidades