Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Hoppscotch Browser Extension (CVE-2024-34714)

Fecha de publicación:

14/05/2024

Idioma:

Español

Hoppscotch Browser Extension es una extensión de navegador para Hoppscotch, un ecosistema de desarrollo de API de código abierto de extremo a extremo impulsado por la comunidad. Debido a un descuido durante un cambio realizado en la extensión en el commit d4e8e4830326f46ba17acd1307977ecd32a85b58, se omitió una verificación crítica de la lista de orígenes y permitió que se enviaran mensajes a la extensión, los cuales la extensión procesó con gusto y respondió con los resultados, mientras que esto no se suponía que sucediera y fuera bloqueado porque el origen no estaba presente en la lista de orígenes. Esta vulnerabilidad expone a los usuarios de Hoppscotch Extension a sitios que llaman internamente a las API de Hoppscotch Extension. Básicamente, esto permite que cualquier sitio que se ejecute en el navegador con la extensión instalada evite las restricciones de CORS si el usuario está ejecutando extensiones con la versión dada. Este agujero de seguridad se solucionó en el commit 7e364b928ab722dc682d0fcad713a96cc38477d6 que se lanzó junto con la versión de extensión `0.35`. Como workaround, los usuarios de Chrome pueden usar la Configuración de extensiones para deshabilitar el acceso de la extensión solo a los orígenes que deseen. Firefox no tiene otra alternativa que actualizar a una versión fija.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2024

Vulnerabilidad en SAP NetWeaver Application Server (CVE-2024-34687)

Fecha de publicación:

14/05/2024

Idioma:

Español

SAP NetWeaver Application Server para ABAP y la plataforma ABAP no codifican suficientemente las entradas controladas por el usuario, lo que genera una vulnerabilidad de Cross Site Scripting (XSS). Un atacante puede controlar el código que se ejecuta dentro del navegador de un usuario, lo que podría dar como resultado la modificación, la eliminación de datos, incluido el acceso o la eliminación de archivos, o el robo de cookies de sesión que un atacante podría usar para secuestrar la sesión de un usuario. Por lo tanto, esto podría tener un impacto en la confidencialidad, la integridad y la disponibilidad del sistema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/10/2025

Vulnerabilidad en Oceanic (CVE-2024-34712)

Fecha de publicación:

14/05/2024

Idioma:

Español

Oceanic es una librería NodeJS para interactuar con Discord. Antes de la versión 1.10.4, la entrada a funciones como `Client.rest.channels.removeBan` no está codificada en URL, lo que generaba entradas especialmente manipuladas como `../../../channels/{id}` normalizarse en la URL `/api/v10/channels/{id}` y eliminar un canal en lugar de eliminar una prohibición. La versión 1.10.4 soluciona este problema. Algunas soluciones están disponibles. Se pueden desinfectar las entradas del usuario, asegurándose de que las cadenas sean válidas para el propósito para el que se utilizan. También se puede codificar la entrada con `encodeURIComponent` antes de proporcionarla a la librería.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2024

Vulnerabilidad en TYPO3 (CVE-2024-34357)

Fecha de publicación:

14/05/2024

Idioma:

Español

TYPO3 es un sistema de gestión de contenidos empresariales. A partir de la versión 9.0.0 y anteriores a las versiones 9.5.48 ELTS, 10.4.45 ELTS, 11.5.37 LTS, 12.4.15 LTS y 13.1.1, al no codificar correctamente los valores controlados por el usuario en las entidades de archivos, `ShowImageController ` (`_eID tx_cms_showpic_`) es vulnerable a Cross Site Scripting. Para explotar esta vulnerabilidad se requiere una cuenta de usuario de backend válida con acceso a las entidades de archivos. Las versiones de TYPO3 9.5.48 ELTS, 10.4.45 ELTS, 11.5.37 LTS, 12.4.15 LTS, 13.1.1 solucionan el problema descrito.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/09/2025

Vulnerabilidad en TYPO3 (CVE-2024-34358)

Fecha de publicación:

14/05/2024

Idioma:

Español

TYPO3 es un sistema de gestión de contenidos empresariales. A partir de la versión 9.0.0 y anteriores a las versiones 9.5.48 ELTS, 10.4.45 ELTS, 11.5.37 LTS, 12.4.15 LTS y 13.1.1, `ShowImageController` (`_eID tx_cms_showpic_`) carece de un HMAC criptográfico. firma en el parámetro de consulta HTTP `frame` (por ejemplo, `/index.php?eID=tx_cms_showpic?file=3&amp;...&amp;frame=12345`). Esto permite a los adversarios ordenar al sistema que produzca una cantidad arbitraria de imágenes en miniatura en el lado del servidor. Las versiones de TYPO3 9.5.48 ELTS, 10.4.45 ELTS, 11.5.37 LTS, 12.4.15 LTS, 13.1.1 solucionan el problema descrito.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/09/2025

Vulnerabilidad en TYPO3 (CVE-2024-34355)

Fecha de publicación:

14/05/2024

Idioma:

Español

TYPO3 es un sistema de gestión de contenidos empresariales. A partir de la versión 13.0.0 y antes de la versión 13.1.1, el módulo de backend del historial es vulnerable a la inyección de HTML. Aunque los encabezados Content-Security-Policy previenen efectivamente la ejecución de JavaScript, los adversarios aún pueden inyectar etiquetas HTML maliciosas. Para explotar esta vulnerabilidad se requiere una cuenta de usuario backend válida. La versión 13.1.1 de TYPO3 soluciona el problema descrito.

Gravedad CVSS v3.1: BAJA

Última modificación:

21/01/2025

Vulnerabilidad en TYPO3 (CVE-2024-34356)

Fecha de publicación:

14/05/2024

Idioma:

Español

TYPO3 es un sistema de gestión de contenidos empresariales. A partir de la versión 9.0.0 y anteriores a las versiones 9.5.48 ELTS, 10.4.45 ELTS, 11.5.37 LTS, 12.4.15 LTS y 13.1.1, el módulo backend del administrador de formularios es vulnerable a Cross Site Scripting. Para explotar esta vulnerabilidad se requiere una cuenta de usuario de backend válida con acceso al módulo de formulario. Las versiones de TYPO3 9.5.48 ELTS, 10.4.45 ELTS, 11.5.37 LTS, 12.4.15 LTS y 13.1.1 solucionan el problema descrito.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/09/2025

Vulnerabilidad en JT2Go y Teamcenter Visualization (CVE-2024-34086)

Fecha de publicación:

14/05/2024

Idioma:

Español

Se ha identificado una vulnerabilidad en JT2Go (Todas las versiones &lt; V2312.0001), Teamcenter Visualization V14.1 (Todas las versiones &lt; V14.1.0.13), Teamcenter Visualization V14.2 (Todas las versiones &lt; V14.2.0.10), Teamcenter Visualization V14.3 (Todas las versiones &lt; V14.3.0.7), Teamcenter Visualization V2312 (Todas las versiones &lt; V2312.0001). Las aplicaciones afectadas contienen una vulnerabilidad de escritura fuera de los límites al analizar un archivo CGM especialmente manipulado. Esto podría permitir a un atacante ejecutar código en el contexto del proceso actual.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/10/2025

Vulnerabilidad en htmly v2.9.6 (CVE-2024-34191)

Fecha de publicación:

14/05/2024

Idioma:

Español

Se descubrió que htmly v2.9.6 contenía una vulnerabilidad de eliminación de archivos arbitraria a través de la función delete_post() en admin.php. Esta vulnerabilidad permite a los atacantes eliminar archivos arbitrarios mediante una solicitud manipulada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/08/2025