Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en AT&T Calypso, Nokia C100, Nokia C200 y BLU View 3 (CVE-2023-38299)

Fecha de publicación:
22/04/2024
Idioma:
Español
Varias compilaciones de software para los dispositivos AT&T Calypso, Nokia C100, Nokia C200 y BLU View 3 filtran el IMEI del dispositivo a una propiedad del sistema a la que se puede acceder mediante cualquier aplicación local en el dispositivo sin permisos ni privilegios especiales. Google restringió que las aplicaciones de terceros obtengan directamente identificadores de dispositivos no reiniciables en Android 10 y versiones posteriores, pero en estos casos se filtran mediante un proceso de alto privilegio y se pueden obtener indirectamente. Las huellas digitales de compilación de software para cada dispositivo vulnerable confirmado son las siguientes: AT&T Calypso (ATT/U318AA/U318AA:10/QP1A.190711.020/1632369780:user/release-keys); Nokia C100 (Nokia/DrakeLite_02US/DKT:12/SP1A.210812.016/02US_1_190:user/release-keys and Nokia/DrakeLite_02US/DKT:12/SP1A.210812.016/02US_1_270:user/release-keys); Nokia C200 (Nokia/Drake_02US/DRK:12/SP1A.210812.016/02US_1_080:user/release-keys); and BLU View 3 (BLU/B140DL/B140DL:11/RP1A.200720.011/1628014629:user/release-keys, BLU/B140DL/B140DL:11/RP1A.200720.011/1632535579:user/release-keys, BLU/B140DL/B140DL:11/RP1A.200720.011/1637325978:user/release-keys, BLU/B140DL/B140DL:11/RP1A.200720.011/1650073052:user/release-keys, BLU/B140DL/B140DL:11/RP1A.200720.011/1657087912:user/release-keys, BLU/B140DL/B140DL:11/RP1A.200720.011/1666316280:user/release-keys, and BLU/B140DL/B140DL:11/RP1A.200720.011/1672371162:user/release-keys). Esta aplicación maliciosa lee la propiedad del sistema "persist.sys.imei1" para obtener indirectamente el IMEI del dispositivo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
31/10/2024

Vulnerabilidad en Android (CVE-2023-38300)

Fecha de publicación:
22/04/2024
Idioma:
Español
Cierta compilación de software para el dispositivo Orbic Maui (Orbic/RC545L/RC545L:10/ORB545L_V1.4.2_BVZPP/230106:user/release-keys) filtra el IMEI y el ICCID a las propiedades del sistema a las que puede acceder cualquier aplicación local en el dispositivo sin ningún permiso o privilegio especial. Google restringió que las aplicaciones de terceros obtengan directamente identificadores de dispositivos no reiniciables en Android 10 y versiones posteriores, pero en este caso se filtran mediante un proceso de alto privilegio y se pueden obtener indirectamente. Esta aplicación maliciosa lee la propiedad del sistema "persist.sys.verizon_test_plan_imei" para obtener indirectamente el IMEI y lee la propiedad del sistema "persist.sys.verizon_test_plan_iccid" para obtener el ICCID.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/07/2024

Vulnerabilidad en Android (CVE-2023-38301)

Fecha de publicación:
22/04/2024
Idioma:
Español
Se descubrió un problema en un componente de terceros relacionado con seller.gsm.serial, incluido en dispositivos de varios fabricantes. Varias compilaciones de software para los dispositivos BLU View 2, Boost Mobile Celero 5G, Sharp Rouvo V, Motorola Moto G Pure, Motorola Moto G Power, T-Mobile Revvl 6 Pro 5G y T-Mobile Revvl V+ 5G filtran el número de serie del dispositivo a una propiedad del sistema a la que puede acceder cualquier aplicación local en el dispositivo sin ningún permiso ni privilegio especial. Google restringió que las aplicaciones de terceros obtengan directamente identificadores de dispositivos no reiniciables en Android 10 y versiones posteriores, pero en estos casos se filtran mediante un proceso de alto privilegio y se pueden obtener indirectamente. Las huellas digitales de compilación de software para cada dispositivo vulnerable confirmado son las siguientes: BLU View 2 (BLU/B131DL/B130DL:11/RP1A.200720.011/1672046950:user/release-keys); Boost Mobile Celero 5G (Celero5G/Jupiter/Jupiter:11/RP1A.200720.011/SW_S98119AA1_V067:user/release-keys); Sharp Rouvo V (SHARP/VZW_STTM21VAPP/STTM21VAPP:12/SP1A.210812.016/1KN0_0_530:user/release-keys); Motorola Moto G Pure (motorola/ellis_trac/ellis:11/RRHS31.Q3-46-110-2/74844:user/release-keys, motorola/ellis_trac/ellis:11/RRHS31.Q3-46-110-7/5cde8:user/release-keys, motorola/ellis_trac/ellis:11/RRHS31.Q3-46-110-10/d67faa:user/release-keys, motorola/ellis_trac/ellis:11/RRHS31.Q3-46-110-13/b4a29:user/release-keys, motorola/ellis_trac/ellis:12/S3RH32.20-42-10/1c2540:user/release-keys, motorola/ellis_trac/ellis:12/S3RHS32.20-42-13-2-1/6368dd:user/release-keys, motorola/ellis_a/ellis:11/RRH31.Q3-46-50-2/20fec:user/release-keys, motorola/ellis_vzw/ellis:11/RRH31.Q3-46-138/103bd:user/release-keys, motorola/ellis_vzw/ellis:11/RRHS31.Q3-46-138-2/e5502:user/release-keys, and motorola/ellis_vzw/ellis:12/S3RHS32.20-42-10-14-2/5e0b0:user/release-keys); Motorola Moto G Power (motorola/tonga_g/tonga:11/RRQ31.Q3-68-16-2/e5877:user/release-keys and motorola/tonga_g/tonga:12/S3RQS32.20-42-10-6/f876d3:user/release-keys); T-Mobile Revvl 6 Pro 5G (T-Mobile/Augusta/Augusta:12/SP1A.210812.016/SW_S98121AA1_V070:user/release-keys); and T-Mobile Revvl V+ 5G (T-Mobile/Sprout/Sprout:11/RP1A.200720.011/SW_S98115AA1_V077:user/release-keys). Esta aplicación maliciosa lee la propiedad del sistema "vendor.gsm.serial" para obtener indirectamente el número de serie del dispositivo.
Gravedad CVSS v3.1: BAJA
Última modificación:
03/07/2024

Vulnerabilidad en Sharp Rouvo V (CVE-2023-38302)

Fecha de publicación:
22/04/2024
Idioma:
Español
Cierta compilación de software para el dispositivo Sharp Rouvo V (SHARP/VZW_STTM21VAPP/STTM21VAPP:12/SP1A.210812.016/1KN0_0_530:user/release-keys) filtra la dirección MAC de Wi-Fi y la dirección MAC de Bluetooth a las propiedades del sistema a las que se puede acceder por cualquier aplicación local en el dispositivo sin ningún permiso o privilegio especial. Google restringió que las aplicaciones de terceros obtengan directamente identificadores de dispositivos no reiniciables en Android 10 y versiones posteriores, pero en este caso se filtran mediante un proceso de alto privilegio y se pueden obtener indirectamente. Esta aplicación maliciosa lee la propiedad del sistema "ro.boot.wifi_mac" para obtener indirectamente la dirección MAC de Wi-Fi y lee la propiedad del sistema "ro.boot.bt_mac" para obtener la dirección MAC de Bluetooth.
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/03/2025

Vulnerabilidad en pdf2json v0.70 (CVE-2024-28699)

Fecha de publicación:
22/04/2024
Idioma:
Español
Una vulnerabilidad de desbordamiento de búfer en pdf2json v0.70 permite a un atacante local ejecutar código arbitrario a través de las funciones GString::copy() e ImgOutputDev::ImgOutputDev.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/07/2024

Vulnerabilidad en PHPFox v4.8.9 (CVE-2022-34560)

Fecha de publicación:
22/04/2024
Idioma:
Español
Una vulnerabilidad de Cross Site Scripting (XSS) en PHPFox v4.8.9 permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el parámetro Historial.
Gravedad CVSS v3.1: ALTA
Última modificación:
22/04/2025

Vulnerabilidad en PHPFox v4.8.9 (CVE-2022-34561)

Fecha de publicación:
22/04/2024
Idioma:
Español
Una vulnerabilidad de Cross Site Scripting (XSS) en PHPFox v4.8.9 permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el parámetro de descripción del video.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/04/2025

Vulnerabilidad en PHPFox v4.8.9 (CVE-2022-34562)

Fecha de publicación:
22/04/2024
Idioma:
Español
Una vulnerabilidad de Cross Site Scripting (XSS) en PHPFox v4.8.9 permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el cuadro de estado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/04/2025

Vulnerabilidad en Open Source MANO v7-v12 (CVE-2022-35503)

Fecha de publicación:
22/04/2024
Idioma:
Español
La verificación inadecuada de una entrada de usuario en Open Source MANO v7-v12 permite que un atacante autenticado ejecute código arbitrario dentro del contenedor del módulo LCM a través de un descriptor de función de red virtual (VNF). Un atacante puede ejecutar código para cambiar la ejecución normal de los componentes de OSM, recuperar información confidencial u obtener acceso a otras partes de la infraestructura de un operador de telecomunicaciones distintas del propio OSM.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/07/2024

Vulnerabilidad en Android BLU View 2 y Sharp Rouvo V (CVE-2023-38290)

Fecha de publicación:
22/04/2024
Idioma:
Español
Ciertas versiones de software para los dispositivos Android BLU View 2 y Sharp Rouvo V contienen una aplicación preinstalada vulnerable con un nombre de paquete com.evenwell.fqc (versionCode='9020801', versionName='9.0208.01'; versionCode='9020913 ', versionName='9.0209.13' ; versionCode='9021203', versionName='9.0212.03') que permite que aplicaciones locales de terceros ejecuten comandos de shell arbitrarios en su contexto (usuario del sistema) debido a un control de acceso inadecuado. No se necesitan permisos ni privilegios especiales para explotar la vulnerabilidad en la aplicación com.evenwell.fqc. No se requiere ninguna interacción del usuario más allá de instalar y ejecutar una aplicación de terceros. La vulnerabilidad permite que las aplicaciones locales accedan a funciones confidenciales que generalmente están restringidas a aplicaciones preinstaladas, como realizar mediante programación las siguientes acciones: otorgar permisos arbitrarios (que pueden usarse para obtener datos confidenciales del usuario), instalar aplicaciones arbitrarias, grabar videos de la pantalla, borrar el dispositivo (eliminar las aplicaciones y los datos del usuario), inyectar eventos de entrada arbitrarios, llamar a números de teléfono de emergencia, deshabilitar aplicaciones, acceder a notificaciones y mucho más. Las huellas digitales de compilación de software para cada dispositivo vulnerable confirmado son las siguientes: BLU View 2 (BLU/B131DL/B130DL:11/RP1A.200720.011/1672046950:user/release-keys, BLU/B131DL/B130DL:11/RP1A.200720.011/1663816427:user/release-keys, BLU/B131DL/B130DL:11/RP1A.200720.011/1656476696:user/release-keys, BLU/B131DL/B130DL:11/RP1A.200720.011/1647856638:user/release-keys) y Sharp Rouvo V (SHARP/VZW_STTM21VAPP/STTM21VAPP:12/SP1A.210812.016/1KN0_0_460:user/release-keys and SHARP/VZW_STTM21VAPP/STTM21VAPP:12/SP1A.210812.016/1KN0_0_530:user/release-keys). Esta aplicación maliciosa inicia una actividad exportada llamada com.evenwell.fqc/.activity.ClickTest, bloquea la aplicación com.evenwell.fqc enviando un Intent vacío (es decir, sin extras) al receptor com.evenwell.fqc/.FQCBroadcastReceiver componente, y luego envía comandos de shell arbitrarios al componente de servicio com.evenwell.fqc/.FQCService que los ejecuta con privilegios de "sistema".
Gravedad CVSS v3.1: ALTA
Última modificación:
03/07/2024

Vulnerabilidad en Motorola (CVE-2023-38291)

Fecha de publicación:
22/04/2024
Idioma:
Español
Se descubrió un problema en un componente de terceros relacionado con ro.boot.wifimacaddr, incluido en dispositivos de varios fabricantes. Varias compilaciones de software para los siguientes dispositivos TCL (30Z y 10L) y dispositivos Motorola (Moto G Pure y Moto G Power) filtran la dirección MAC de Wi-Fi a una propiedad del sistema a la que se puede acceder mediante cualquier aplicación local en el dispositivo sin ningún permiso. o privilegios especiales. Google restringió que las aplicaciones de terceros obtengan directamente identificadores de dispositivos no reiniciables en Android 10 y versiones posteriores, pero en estos casos se filtran mediante un proceso de alto privilegio y se pueden obtener indirectamente. Las huellas digitales de compilación de software para cada dispositivo vulnerable confirmado son las siguientes: TCL A3X (TCL/A600DL/Delhi_TF:11/RKQ1.201202.002/vAAZ:user/release-keys, TCL/A600DL/Delhi_TF:11/RKQ1.201202.002/vAB3:user/release-keys, TCL/A600DL/Delhi_TF:11/RKQ1.201202.002/vAB7:user/release-keys, TCL/A600DL/Delhi_TF:11/RKQ1.201202.002/vABA:user/release-keys, TCL/A600DL/Delhi_TF:11/RKQ1.201202.002/vABM:user/release-keys, TCL/A600DL/Delhi_TF:11/RKQ1.201202.002/vABP:user/release-keys, and TCL/A600DL/Delhi_TF:11/RKQ1.201202.002/vABS:user/release-keys); TCL 10L (TCL/T770B/T1_LITE:10/QKQ1.200329.002/3CJ0:user/release-keys and TCL/T770B/T1_LITE:11/RKQ1.210107.001/8BIC:user/release-keys); Motorola Moto G Pure (motorola/ellis_trac/ellis:11/RRHS31.Q3-46-110-2/74844:user/release-keys, motorola/ellis_trac/ellis:11/RRHS31.Q3-46-110-7/5cde8:user/release-keys, motorola/ellis_trac/ellis:11/RRHS31.Q3-46-110-10/d67faa:user/release-keys, motorola/ellis_trac/ellis:11/RRHS31.Q3-46-110-13/b4a29:user/release-keys, motorola/ellis_trac/ellis:12/S3RH32.20-42-10/1c2540:user/release-keys, motorola/ellis_trac/ellis:12/S3RHS32.20-42-13-2-1/6368dd:user/release-keys, motorola/ellis_a/ellis:11/RRH31.Q3-46-50-2/20fec:user/release-keys, motorola/ellis_vzw/ellis:11/RRH31.Q3-46-138/103bd:user/release-keys, motorola/ellis_vzw/ellis:11/RRHS31.Q3-46-138-2/e5502:user/release-keys, and motorola/ellis_vzw/ellis:12/S3RHS32.20-42-10-14-2/5e0b0:user/release-keys); y Motorola Moto G Power (motorola/tonga_g/tonga:11/RRQ31.Q3-68-16-2/e5877:user/release-keys and motorola/tonga_g/tonga:12/S3RQS32.20-42-10-6/f876d3:user/release-keys). Esta aplicación maliciosa lee la propiedad del sistema "ro.boot.wifimacaddr" para obtener indirectamente la dirección MAC de Wi-Fi.
Gravedad CVSS v3.1: ALTA
Última modificación:
01/11/2024

Vulnerabilidad en Android TCL 20XE (CVE-2023-38292)

Fecha de publicación:
22/04/2024
Idioma:
Español
Ciertas versiones de software para el dispositivo Android TCL 20XE contienen una aplicación vulnerable preinstalada con un nombre de paquete com.tct.gcs.hiddenmenuproxy (versionCode='2', versionName='v11.0.1.0.0201.0') que permite aplicaciones locales de terceros para realizar mediante programación un restablecimiento de fábrica debido a un control de acceso inadecuado. No se necesitan permisos ni privilegios especiales para explotar la vulnerabilidad en la aplicación com.tct.gcs.hiddenmenuproxy. No se requiere ninguna interacción del usuario más allá de instalar y ejecutar una aplicación de terceros. Las huellas digitales de compilación de software para cada compilación vulnerable confirmada son las siguientes: TCL/5087Z_BO/Doha_TMO:11/RP1A.200720.011/PB7I-0:user/release-keys and TCL/5087Z_BO/Doha_TMO:11/RP1A.200720.011/PB83-0:user/release-keys. Esta aplicación maliciosa envía una intención de transmisión al componente receptor exportado com.tct.gcs.hiddenmenuproxy/.rtn.FactoryResetReceiver, que inicia un restablecimiento de fábrica programático.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/07/2024