Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en PMB (CVE-2023-52155)

Fecha de publicación:
21/02/2024
Idioma:
Español
Una vulnerabilidad de inyección SQL en /admin/sauvegarde/run.php en PMB 7.4.7 y anteriores permite a atacantes remotos autenticados ejecutar comandos SQL de su elección a través de la variable sauvegardes a través del endpoint /admin/sauvegarde/run.php.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/03/2025

Vulnerabilidad en PMB (CVE-2023-51828)

Fecha de publicación:
21/02/2024
Idioma:
Español
Una vulnerabilidad de inyección SQL en /admin/convert/export.class.php en PMB 7.4.7 y versiones anteriores permite a atacantes remotos no autenticados ejecutar comandos SQL arbitrarios a través del parámetro de consulta en la función get_next_notice.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
25/03/2025

Vulnerabilidad en discurso-ai para Discourse (CVE-2024-23654)

Fecha de publicación:
21/02/2024
Idioma:
Español
discurso-ai es el complemento de inteligencia artificial para la plataforma de discusión de código abierto Discourse. Antes del commit 94ba0dadc2cf38e8f81c3936974c167219878edd, las interacciones con diferentes servicios de IA son vulnerables a ataques SSRF iniciados por el administrador. Las versiones del complemento que incluyen el commit 94ba0dadc2cf38e8f81c3936974c167219878edd contienen un parche. Como workaround, se puede desactivar el complemento discurso-ai.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/02/2025

Vulnerabilidad en Fiber (CVE-2024-25124)

Fecha de publicación:
21/02/2024
Idioma:
Español
Fiber es un framework web escrito en go. Antes de la versión 2.52.1, el middleware CORS permitía configuraciones inseguras que podrían exponer la aplicación a múltiples vulnerabilidades relacionadas con CORS. Específicamente, permite establecer el encabezado Access-Control-Allow-Origin en un comodín (`*`) y al mismo tiempo tener Access-Control-Allow-Credentials establecido en verdadero, lo que va en contra de las mejores prácticas de seguridad recomendadas. El impacto de esta mala configuración es alto, ya que puede conducir a un acceso no autorizado a datos confidenciales del usuario y exponer el sistema a varios tipos de ataques enumerados en el artículo de PortSwigger vinculado en las referencias. La versión 2.52.1 contiene un parche para este problema. Como workaround, los usuarios pueden validar manualmente las configuraciones de CORS en su implementación para asegurarse de que no permitan un origen comodín cuando las credenciales estén habilitadas. La API de recuperación del navegador, así como los navegadores y las utilidades que aplican las políticas CORS, no se ven afectados por esto.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/02/2025

Vulnerabilidad en D-Link Dir 882 (CVE-2023-24330)

Fecha de publicación:
21/02/2024
Idioma:
Español
La vulnerabilidad de inyección de comandos en D-Link Dir 882 con la versión de firmware DIR882A1_FW130B06 permite a los atacantes ejecutar comandos arbitrarios a través de una solicitud POST manipulada para /HNAP1/.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/03/2025

Vulnerabilidad en D-Link Dir 816 (CVE-2023-24331)

Fecha de publicación:
21/02/2024
Idioma:
Español
Vulnerabilidad de inyección de comandos en D-Link Dir 816 con versión de firmware DIR-816_A2_v1.10CNB04 permite a atacantes ejecutar comandos arbitrarios a través del parámetro urlAdd.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
25/03/2025

Vulnerabilidad en Tenda AC6 (CVE-2023-24332)

Fecha de publicación:
21/02/2024
Idioma:
Español
Una vulnerabilidad de desbordamiento en la región stack de la memoria en Tenda AC6 con la versión de firmware US_AC6V5.0re_V03.03.02.01_cn_TDC01 permite a los atacantes ejecutar comandos arbitrarios a través de una solicitud POST manipulada para /goform/PowerSaveSet.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/03/2025

Vulnerabilidad en Tenda AC21 (CVE-2023-24333)

Fecha de publicación:
21/02/2024
Idioma:
Español
Una vulnerabilidad de desbordamiento en la región stack de la memoria en Tenda AC21 con la versión de firmware US_AC21V1.0re_V16.03.08.15_cn_TDC01 permite a los atacantes ejecutar comandos arbitrarios a través de una solicitud POST manipulada para /goform/openSchedWifi.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/03/2025

Vulnerabilidad en Tenda AC23 (CVE-2023-24334)

Fecha de publicación:
21/02/2024
Idioma:
Español
Una vulnerabilidad de desbordamiento en la región stack de la memoria en Tenda AC23 con la versión de firmware US_AC23V1.0re_V16.03.07.45_cn_TDC01 permite a los atacantes ejecutar comandos arbitrarios a través del parámetro schedStartTime.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/03/2025

Vulnerabilidad en PMB Services PMB (CVE-2023-37177)

Fecha de publicación:
21/02/2024
Idioma:
Español
Vulnerabilidad de inyección SQL en PMB Services PMB v.7.4.7 y anteriores permite que un atacante remoto no autenticado ejecute código arbitrario a través del parámetro de consulta en el endpoint /admin/convert/export_z3950.php.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
25/03/2025

Vulnerabilidad en PMB (CVE-2023-38844)

Fecha de publicación:
21/02/2024
Idioma:
Español
Vulnerabilidad de inyección SQL en PMB v.7.4.7 y anteriores permite a un atacante remoto ejecutar código arbitrario a través del parámetro tesauro en export_skos.php.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/03/2025

Vulnerabilidad en PC Controller (CVE-2023-6533)

Fecha de publicación:
21/02/2024
Idioma:
Español
Se pueden enviar paquetes de clase de comando de reinicio local de dispositivo con formato incorrecto al controlador, lo que hace que el controlador asuma que el dispositivo final ha abandonado la red. Después de esto, el controlador no reconocerá las tramas enviadas por el dispositivo final. Esta vulnerabilidad existe en PC Controller v5.54.0 y versiones anteriores.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/02/2025