Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Dell SupportAssist (CVE-2023-25535)

Fecha de publicación:
14/02/2024
Idioma:
Español
La versión del archivo ejecutable del instalador de Dell SupportAssist para PC domésticas anterior a 3.13.2.19 utilizado para la instalación inicial tiene una alta vulnerabilidad que puede resultar en una escalada de privilegios local (LPE). Esta vulnerabilidad solo afecta a las instalaciones realizadas por primera vez antes del 8 de marzo de 2023.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/10/2024

Vulnerabilidad en Dell E-Lab Navigator (CVE-2024-22455)

Fecha de publicación:
14/02/2024
Idioma:
Español
Dell E-Lab Navigator, [3.1.9, 3.2.0], contiene una vulnerabilidad de referencia directa a objetos inseguros en el envío de comentarios. Un atacante podría explotar esta vulnerabilidad para manipular la apariencia del correo electrónico, engañando potencialmente a los destinatarios y provocando riesgos para la reputación y la seguridad.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/10/2024

Vulnerabilidad en Digdag (CVE-2024-25125)

Fecha de publicación:
14/02/2024
Idioma:
Español
Digdag es una herramienta de código abierto que crea, ejecuta, programa y monitorea procesos complejos de tareas en varias plataformas. El sistema de automatización de carga de trabajo digdag de Treasure Data es susceptible a una vulnerabilidad de path traversal si está configurado para almacenar archivos de registro localmente. Este problema puede dar lugar a la divulgación de información y se solucionó en la versión 0.10.5.1. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/10/2024

Vulnerabilidad en Zoom (CVE-2024-24699)

Fecha de publicación:
14/02/2024
Idioma:
Español
Un error de lógica empresarial en algunos clientes de Zoom puede permitir que un usuario autenticado realice la divulgación de información a través del acceso a la red.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/10/2024

Vulnerabilidad en Zoom (CVE-2024-24690)

Fecha de publicación:
14/02/2024
Idioma:
Español
Una validación de entrada incorrecta en algunos clientes de Zoom puede permitir que un usuario autenticado realice una denegación de servicio a través del acceso a la red.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/10/2024

Vulnerabilidad en Zoom Desktop Client para Windows, Zoom VDI Client para Windows y Zoom Meeting SDK para Windows (CVE-2024-24691)

Fecha de publicación:
14/02/2024
Idioma:
Español
Una validación de entrada incorrecta en Zoom Desktop Client para Windows, Zoom VDI Client para Windows y Zoom Meeting SDK para Windows puede permitir que un usuario no autenticado realice una escalada de privilegios a través del acceso a la red.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/10/2024

Vulnerabilidad en Zoom Desktop Client para Windows, Zoom VDI Client para Windows y Zoom Meeting SDK para Windows (CVE-2024-24695)

Fecha de publicación:
14/02/2024
Idioma:
Español
Una validación de entrada incorrecta en Zoom Desktop Client para Windows, Zoom VDI Client para Windows y Zoom Meeting SDK para Windows puede permitir que un usuario autenticado realice una divulgación de información a través del acceso a la red.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/10/2024

Vulnerabilidad en Zoom Desktop Client para Windows, Zoom VDI Client para Windows y Zoom Meeting SDK para Windows (CVE-2024-24696)

Fecha de publicación:
14/02/2024
Idioma:
Español
Una validación de entrada incorrecta en Zoom Desktop Client para Windows, Zoom VDI Client para Windows y Zoom Meeting SDK para Windows puede permitir que un usuario autenticado realice una divulgación de información a través del acceso a la red.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/10/2024

Vulnerabilidad en Zoom (CVE-2024-24697)

Fecha de publicación:
14/02/2024
Idioma:
Español
Una ruta de búsqueda que no es de confianza en algunos clientes Zoom de Windows de 32 bits puede permitir que un usuario autenticado realice una escalada de privilegios a través del acceso local.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/10/2024

Vulnerabilidad en Zoom (CVE-2024-24698)

Fecha de publicación:
14/02/2024
Idioma:
Español
La autenticación inadecuada en algunos clientes de Zoom puede permitir que un usuario privilegiado realice una divulgación de información a través del acceso local.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/10/2024

Vulnerabilidad en Red Hat (CVE-2024-1485)

Fecha de publicación:
14/02/2024
Idioma:
Español
Se encontró una vulnerabilidad en la función de descompresión del soporte de registro. Este problema puede ser desencadenado por un atacante remoto no autenticado al engañar a un usuario para que abra un archivo .tar especialmente modificado, lo que lleva al proceso de limpieza a seguir rutas relativas para sobrescribir o eliminar archivos fuera del alcance previsto.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/03/2026

Vulnerabilidad en TYPO3 (CVE-2024-25121)

Fecha de publicación:
13/02/2024
Idioma:
Español
TYPO3 es un sistema de gestión de contenido web basado en PHP de código abierto publicado bajo GNU GPL. En las versiones afectadas de TYPO3, las entidades de la capa de abstracción de archivos (FAL) se podían conservar directamente a través de `DataHandler`. Esto permitió a los atacantes hacer referencia a archivos en el almacenamiento alternativo directamente y recuperar sus nombres y contenidos. El almacenamiento alternativo ("almacenamiento cero") se utiliza como capa de compatibilidad con versiones anteriores para archivos ubicados fuera de los almacenamientos de archivos configurados correctamente y dentro del directorio raíz web público. Para explotar esta vulnerabilidad se requiere una cuenta de usuario backend válida. Se recomienda a los usuarios que actualicen a TYPO3 versión 8.7.57 ELTS, 9.5.46 ELTS, 10.4.43 ELTS, 11.5.35 LTS, 12.4.11 LTS o 13.0.1, que solucionan el problema descrito. Cuando se persisten entidades de la capa de abstracción de archivos directamente a través de DataHandler, las entidades `sys_file` ahora están denegadas de forma predeterminada, y las entidades `sys_file_reference` y `sys_file_metadata` ya no pueden hacer referencia a archivos en el almacenamiento alternativo. Al importar datos desde orígenes seguros, esto debe habilitarse explícitamente en la instancia de DataHandler correspondiente usando `$dataHandler->isImporting = true;`.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/10/2024