Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Active Storage (CVE-2024-26144)

Fecha de publicación:
27/02/2024
Idioma:
Español
Rails es un framework de aplicación web. A partir de la versión 5.2.0, existe una posible fuga de información confidencial de la sesión en Active Storage. De forma predeterminada, Active Storage envía un encabezado Set-Cookie junto con la cookie de sesión del usuario cuando sirve blobs. También configura Cache-Control como público. Ciertos servidores proxy pueden almacenar en caché la Set-Cookie, lo que provoca una fuga de información. La vulnerabilidad se solucionó en 7.0.8.1 y 6.1.7.7.
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/02/2025

Vulnerabilidad en OpenEdge Authentication Gateway y AdminServer (CVE-2024-1403)

Fecha de publicación:
27/02/2024
Idioma:
Español
En OpenEdge Authentication Gateway y AdminServer anteriores a 11.7.19, 12.2.14, 12.8.1 en todas las plataformas compatibles con el producto OpenEdge, se identificó una vulnerabilidad de omisión de autenticación. La vulnerabilidad es una omisión de la autenticación basada en una falla al manejar adecuadamente el nombre de usuario y la contraseña. Cierto contenido inesperado que se pasa a las credenciales puede provocar un acceso no autorizado sin la autenticación adecuada.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
11/02/2025

Vulnerabilidad en SourceCodester Online Job Portal 1.0 (CVE-2024-1922)

Fecha de publicación:
27/02/2024
Idioma:
Español
Una vulnerabilidad fue encontrada en SourceCodester Online Job Portal 1.0 y clasificada como problemática. Una función desconocida del archivo /Employer/ManageJob.php del componente Manage Job Page es afectada por esta vulnerabilidad. La manipulación del argumento Calificación/Descripción conduce a cross-site scripting. El ataque se puede lanzar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-254857.
Gravedad CVSS v3.1: BAJA
Última modificación:
18/12/2024

CVE-2023-5947

Fecha de publicación:
27/02/2024
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: ** REJECT ** DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: CVE-2023-7247. Reason: This candidate is a duplicate of CVE-2023-7247. Notes: All CVE users should reference CVE-2023-7247 instead of this candidate. All references and descriptions in this candidate have been removed to prevent accidental usage.
Gravedad: Pendiente de análisis
Última modificación:
27/02/2024

CVE-2024-1423

Fecha de publicación:
27/02/2024
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: Accidental Request
Gravedad: Pendiente de análisis
Última modificación:
27/02/2024

Vulnerabilidad en osuuu LightPicture (CVE-2024-1921)

Fecha de publicación:
27/02/2024
Idioma:
Español
Una vulnerabilidad fue encontrada en osuuu LightPicture hasta 1.2.2 y clasificada como crítica. Una función desconocida del archivo /app/controller/Setup.php es afectada por esta vulnerabilidad. La manipulación conduce a una carga sin restricciones. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-254856.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/12/2024

Vulnerabilidad en Apache Aurora (CVE-2024-27905)

Fecha de publicación:
27/02/2024
Idioma:
Español
** NO SOPORTADO CUANDO ESTÁ ASIGNADO ** Exposición de información confidencial a una vulnerabilidad de actor no autorizado en Apache Aurora. Un endpoint que expone elementos internos a usuarios no autenticados se puede utilizar como un "oráculo de relleno" que permite a un atacante anónimo construir una cookie de autenticación válida. Potencialmente, esto podría combinarse con vulnerabilidades en otros componentes para lograr la ejecución remota de código. Como este proyecto está retirado, no planeamos lanzar una versión que solucione este problema. Se recomienda a los usuarios que busquen una alternativa o restrinjan el acceso a la instancia a usuarios confiables. NOTA: Esta vulnerabilidad solo afecta a productos que ya no son compatibles con el fabricante.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/07/2025

Vulnerabilidad en ZenML Server (CVE-2024-25723)

Fecha de publicación:
27/02/2024
Idioma:
Español
ZenML Server en el paquete de aprendizaje automático ZenML anterior a 0.46.7 para Python permite la escalada remota de privilegios porque el endpoint de la API REST /api/v1/users/{user_name_or_id}/activate permite el acceso basándose en un nombre de usuario válido junto con una nueva contraseña en el cuerpo de la solicitud. Estas también son versiones parcheadas: 0.44.4, 0.43.1 y 0.42.2.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/05/2025

Vulnerabilidad en libLAS 1.8.1 (CVE-2024-27507)

Fecha de publicación:
27/02/2024
Idioma:
Español
libLAS 1.8.1 contiene una vulnerabilidad de pérdida de memoria en /libLAS/apps/ts2las.cpp.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/11/2025

Vulnerabilidad en huntr.dev (CVE-2024-0551)

Fecha de publicación:
27/02/2024
Idioma:
Español
Habilite las exportaciones de la base de datos y la información exportada asociada del sistema a través del rol de usuario predeterminado. Al atacado se le debería haber concedido acceso al sistema antes del ataque. Vale la pena señalar que la naturaleza determinista del nombre de exportación presenta un riesgo menor ya que la interfaz de usuario para exportar iniciaría la descarga al mismo tiempo, lo que, una vez descargado, elimina la exportación del sistema. El endpoint para la exportación simplemente debe parchearse con un nivel de privilegio más alto.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/03/2025

Vulnerabilidad en TeamViewer Remote Client (CVE-2024-0819)

Fecha de publicación:
27/02/2024
Idioma:
Español
La inicialización incorrecta de la configuración predeterminada en TeamViewer Remote Client, versión anterior a 15.51.5 para Windows, Linux y macOS, permite a un usuario con pocos privilegios elevar sus privilegios cambiando la configuración de la contraseña personal y estableciendo una conexión remota a una cuenta de administrador que haya iniciado sesión.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/03/2025

Vulnerabilidad en SourceCodester Online Job Portal 1.0 (CVE-2024-1919)

Fecha de publicación:
27/02/2024
Idioma:
Español
Una vulnerabilidad fue encontrada en SourceCodester Online Job Portal 1.0 y clasificada como problemática. Esta vulnerabilidad afecta a un código desconocido del archivo /Employer/ManageWalkin.php del componente Manage Walkin Page. La manipulación del argumento Título del puesto conduce a cross-site scripting. El ataque se puede iniciar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-254854 es el identificador asignado a esta vulnerabilidad.
Gravedad CVSS v3.1: BAJA
Última modificación:
18/12/2024