Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-29489

Fecha de publicación:

27/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** An issue was discovered in cPanel before 11.109.9999.116. XSS can occur on the cpsrvd error page via an invalid webcall ID, aka SEC-669. The fixed versions are 11.109.9999.116, 11.108.0.13, 11.106.0.18, and 11.102.0.31.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/05/2023

CVE-2023-25437

Fecha de publicación:

27/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** An issue was discovered in vTech VCS754 version 1.1.1.A before 1.1.1.H, allows attackers to gain escalated privileges and gain sensitive information due to cleartext passwords passed in the raw HTML.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/01/2025

CVE-2023-29471

Fecha de publicación:

27/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** Lightbend Alpakka Kafka before 5.0.0 logs its configuration as debug information, and thus log files may contain credentials (if plain cleartext login is configured). This occurs in akka.kafka.internal.KafkaConsumerActor.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/01/2025

CVE-2022-25091

Fecha de publicación:

27/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** Infopop Ultimate Bulletin Board up to v5.47a was discovered to allow all messages posted inside private forums to be disclosed by unauthenticated users via the quote reply feature.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/02/2025

CVE-2023-29950

Fecha de publicación:

27/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** swfrender v0.9.2 was discovered to contain a heap buffer overflow in the function enumerateUsedIDs_fillstyle at modules/swftools.c

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/01/2025

CVE-2022-34292

Fecha de publicación:

27/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** Docker Desktop for Windows before 4.6.0 allows attackers to overwrite any file through a symlink attack on the hyperv/create dockerBackendV2 API by controlling the DataFolder parameter for DockerDesktop.vhdx, a similar issue to CVE-2022-31647.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/01/2025

CVE-2022-37326

Fecha de publicación:

27/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** Docker Desktop for Windows before 4.6.0 allows attackers to delete (or create) any file through the dockerBackendV2 windowscontainers/start API by controlling the pidfile field inside the DaemonJSON field in the WindowsContainerStartRequest class. This can indirectly lead to privilege escalation.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/01/2025

CVE-2022-38730

Fecha de publicación:

27/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** Docker Desktop for Windows before 4.6 allows attackers to overwrite any file through the windowscontainers/start dockerBackendV2 API by controlling the data-root field inside the DaemonJSON field in the WindowsContainerStartRequest class. This allows exploiting a symlink vulnerability in ..\dataRoot\network\files\local-kv.db because of a TOCTOU race condition.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/01/2025

CVE-2022-31647

Fecha de publicación:

27/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** Docker Desktop before 4.6.0 on Windows allows attackers to delete any file through the hyperv/destroy dockerBackendV2 API via a symlink in the DataFolder parameter, a different vulnerability than CVE-2022-26659.

Gravedad CVSS v3.1: ALTA

Última modificación:

31/01/2025

CVE-2023-2355

Fecha de publicación:

27/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** Local privilege escalation due to a DLL hijacking vulnerability. The following products are affected: Acronis Snap Deploy (Windows) before build 3900.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/05/2023

CVE-2023-27860

Fecha de publicación:

27/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** IBM Maximo Asset Management 7.6.1.2 and 7.6.1.3 could disclose sensitive information in an error message. This information could be used in further attacks against the system. IBM X-Force ID: 249207.

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/05/2023