Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en CodeAstro House Rental Management System 1.0 (CVE-2024-1825)

Fecha de publicación:
23/02/2024
Idioma:
Español
Una vulnerabilidad fue encontrada en CodeAstro House Rental Management System 1.0 y clasificada como problemática. Una parte desconocida del componente User Registration Page afecta a una parte desconocida. La manipulación del argumento dirección con la entrada conduce a cross site scripting. Es posible iniciar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-254613.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/12/2024

Vulnerabilidad en code-projects Library System 1.0 (CVE-2024-1826)

Fecha de publicación:
23/02/2024
Idioma:
Español
Una vulnerabilidad ha sido encontrada en code-projects Library System 1.0 y clasificada como crítica. Esta vulnerabilidad afecta a código desconocido del archivo Source/librarian/user/student/login.php. La manipulación del argumento nombre de usuario/contraseña conduce a la inyección de SQL. El ataque se puede iniciar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-254614 es el identificador asignado a esta vulnerabilidad.
Gravedad CVSS v3.1: ALTA
Última modificación:
06/12/2024

Vulnerabilidad en Apache DolphinScheduler (CVE-2024-23320)

Fecha de publicación:
23/02/2024
Idioma:
Español
Vulnerabilidad de validación de entrada incorrecta en Apache DolphinScheduler. Un usuario autenticado puede hacer que se ejecute JavaScript arbitrario y sin espacio aislado en el servidor. Este problema es un legado de CVE-2023-49299. No lo solucionamos por completo en CVE-2023-49299 y agregamos un parche más para solucionarlo. Este problema afecta a Apache DolphinScheduler: hasta 3.2.1. Se recomienda a los usuarios actualizar a la versión 3.2.1, que soluciona el problema.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/03/2025

Vulnerabilidad en Ember ZNet (CVE-2023-51392)

Fecha de publicación:
23/02/2024
Idioma:
Español
Ember ZNet entre v7.2.0 y v7.4.0 utilizó software AES-CCM en lugar de aceleradores criptográficos de hardware integrados, lo que potencialmente aumenta el riesgo de ataques de canal lateral de análisis de potencia diferencial y electromagnético.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/02/2025

Vulnerabilidad en CodeAstro Simple Voting System 1.0 (CVE-2024-1823)

Fecha de publicación:
23/02/2024
Idioma:
Español
Una vulnerabilidad fue encontrada en CodeAstro Simple Voting System 1.0 y clasificada como crítica. Una función desconocida del archivo users.php del componente Backend es afectada por esta vulnerabilidad. La manipulación conduce a controles de acceso inadecuados. El ataque se puede lanzar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-254611.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/12/2024

Vulnerabilidad en CodeAstro House Rental Management System 1.0 (CVE-2024-1824)

Fecha de publicación:
23/02/2024
Idioma:
Español
Una vulnerabilidad fue encontrada en CodeAstro House Rental Management System 1.0 y clasificada como crítica. Una función desconocida del archivo signing.php es afectada por esta vulnerabilidad. La manipulación del argumento uname/contraseña conduce a la inyección de SQL. El ataque puede lanzarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-254612.
Gravedad CVSS v3.1: ALTA
Última modificación:
06/12/2024

Vulnerabilidad en Backstage (CVE-2024-26150)

Fecha de publicación:
23/02/2024
Idioma:
Español
`@backstage/backend-common` es una librería de funcionalidad común para backends de Backstage, una plataforma abierta para crear portales de desarrolladores. En `@backstage/backend-common` anterior a las versiones 0.21.1, 0.20.2 y 0.19.10, las comprobaciones de rutas con la utilidad `resolveSafeChildPath` no eran lo suficientemente exhaustivas, lo que generaba riesgo de vulnerabilidades de path traversal si se podían inyectar enlaces simbólicos. por los atacantes. Este problema se solucionó en las versiones `@backstage/backend-common` 0.21.1, 0.20.2 y 0.19.10.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/02/2025

Vulnerabilidad en code-projects Crime Reporting System 1.0 (CVE-2024-1820)

Fecha de publicación:
23/02/2024
Idioma:
Español
Se encontró una vulnerabilidad en code-projects Crime Reporting System 1.0. Ha sido declarada crítica. Esta vulnerabilidad afecta a un código desconocido del archivo inchargelogin.php. La manipulación del argumento correo electrónico/contraseña conduce a la inyección de SQL. El ataque se puede iniciar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-254608.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/12/2024

Vulnerabilidad en code-projects Crime Reporting System 1.0 (CVE-2024-1821)

Fecha de publicación:
23/02/2024
Idioma:
Español
Se encontró una vulnerabilidad en code-projects Crime Reporting System 1.0. Ha sido calificada como crítica. Este problema afecta un procesamiento desconocido del archivo Police_add.php. La manipulación del argumento police_name/police_id/police_spec/password conduce a la inyección de SQL. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-254609.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/12/2024

Vulnerabilidad en PHPGurukul Tourism Management System 1.0 (CVE-2024-1822)

Fecha de publicación:
23/02/2024
Idioma:
Español
Una vulnerabilidad ha sido encontrada en PHPGurukul Tourism Management System 1.0 y clasificada como problemática. Una función desconocida del archivo user-bookings.php es afectada por esta vulnerabilidad. La manipulación del argumento Nombre completo conduce a cross site scripting. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-254610 es el identificador asignado a esta vulnerabilidad.
Gravedad CVSS v3.1: BAJA
Última modificación:
06/12/2024

Vulnerabilidad en Wallos 0.9 (CVE-2024-22776)

Fecha de publicación:
23/02/2024
Idioma:
Español
Wallos 0.9 es vulnerable a Cross Site Scripting (XSS) en todos los campos de entrada basados en texto sin la validación adecuada, excluyendo aquellos que requieren formatos específicos como campos de fecha.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/06/2025

Vulnerabilidad en c-ares (CVE-2024-25629)

Fecha de publicación:
23/02/2024
Idioma:
Español
c-ares es una librería C para solicitudes DNS asincrónicas. `ares__read_line()` se usa para analizar archivos de configuración locales como `/etc/resolv.conf`, `/etc/nsswitch.conf`, el archivo `HOSTALIASES` y si se usa una versión de c-ares anterior a 1.27. 0, el archivo `/etc/hosts`. Si alguno de estos archivos de configuración tiene un carácter "NULL" incrustado como primer carácter en una nueva línea, puede provocar que se intente leer la memoria antes del inicio del búfer dado, lo que puede provocar un bloqueo. Este problema se solucionó en c-ares 1.27.0. No existen workarounds.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/02/2025