Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Awesome Support – WordPress HelpDesk &amp; Support Plugin para WordPress (CVE-2024-0596)

Fecha de publicación:

10/02/2024

Idioma:

Español

El complemento Awesome Support – WordPress HelpDesk &amp; Support Plugin para WordPress es vulnerable al acceso no autorizado a los datos debido a una falta de verificación de capacidad en la función editor_html() en todas las versiones hasta la 6.1.7 incluida. Esto hace posible que los atacantes autenticados, con acceso de nivel de suscriptor y superior, vean publicaciones protegidas con contraseña y borradores.

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/04/2026

Vulnerabilidad en Awesome Support – WordPress HelpDesk &amp; Support Plugin para WordPress (CVE-2024-0594)

Fecha de publicación:

10/02/2024

Idioma:

Español

El complemento Awesome Support – WordPress HelpDesk &amp; Support Plugin para WordPress es vulnerable a la inyección SQL basada en unión a través del parámetro &#39;q&#39; de la acción wpas_get_users en todas las versiones hasta la 6.1.7 incluida, debido a un escape insuficiente en el usuario proporcionado parámetro y falta de preparación suficiente en la consulta SQL existente. Esto hace posible que los atacantes autenticados, con acceso a nivel de suscriptor y superior, agreguen consultas SQL adicionales a consultas ya existentes que pueden usarse para extraer información confidencial de la base de datos.

Gravedad CVSS v3.1: ALTA

Última modificación:

08/04/2026

Vulnerabilidad en Linksys WRT54GL 4.30.18 (CVE-2024-1405)

Fecha de publicación:

10/02/2024

Idioma:

Español

Se encontró una vulnerabilidad en Linksys WRT54GL 4.30.18. Ha sido clasificada como problemática. Una parte desconocida del archivo /wlaninfo.htm del componente Web Management Interface afecta a una parte desconocida. La manipulación conduce a la divulgación de información. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-253329. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/05/2024

Vulnerabilidad en Snyk (CVE-2024-21490)

Fecha de publicación:

10/02/2024

Idioma:

Español

Esto afecta a las versiones del paquete angular desde 1.3.0. Una expresión regular utilizada para dividir el valor de la directiva ng-srcset es vulnerable a un tiempo de ejecución superlineal debido al retroceso. Con una gran cantidad de información cuidadosamente elaborada, esto puede resultar en un retroceso catastrófico y provocar una denegación de servicio. **Nota:** Este paquete está en EOL y no recibirá ninguna actualización para solucionar este problema. Los usuarios deben migrar a [@angular/core](https://www.npmjs.com/package/@angular/core).

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

Vulnerabilidad en Sametime (CVE-2023-45698)

Fecha de publicación:

10/02/2024

Idioma:

Español

Sametime se ve afectado por la falta de protección contra el secuestro de clics en el complemento de Outlook. La aplicación no implementa protecciones adecuadas para proteger a los usuarios de ataques de clickjacking.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/10/2024

Vulnerabilidad en Dell BSAFE SSL-J (CVE-2023-28077)

Fecha de publicación:

10/02/2024

Idioma:

Español

Dell BSAFE SSL-J, versiones anteriores a 6.5 y versiones 7.0 y 7.1 contienen un mensaje de depuración que revela una vulnerabilidad de información innecesaria. Esto puede llevar a revelar información confidencial a un usuario con privilegios locales.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/02/2024

Vulnerabilidad en Sametime (CVE-2023-45696)

Fecha de publicación:

10/02/2024

Idioma:

Español

Sametime se ve afectado por campos confidenciales con la función de autocompletar habilitada en el cliente de chat web heredado. De forma predeterminada, esto permite que el navegador almacene los datos ingresados por el usuario.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/06/2025

Vulnerabilidad en ManageWiki (CVE-2024-25109)

Fecha de publicación:

09/02/2024

Idioma:

Español

ManageWiki es una extensión de MediaWiki que permite a los usuarios administrar wikis. Special:ManageWiki no escapa a los mensajes de la interfaz de escape en las teclas "columnas" y "ayuda" del descriptor del formulario. Un atacante podría aprovechar esto y tendría un vector de ataque de cross site scripting. Explotar este wiki requiere el derecho `(editinterface)`. Los usuarios deben aplicar los cambios de código en los commits `886cc6b94`, `2ef0f50880` y `6942e8b2c` para resolver esta vulnerabilidad. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/09/2024

Vulnerabilidad en Envoy (CVE-2024-23324)

Fecha de publicación:

09/02/2024

Idioma:

Español

Envoy es un proxy de servicio/intermedio/perimetral de alto rendimiento. La autenticación externa se puede omitir mediante conexiones descendentes. Los clientes intermedios pueden forzar el envío de solicitudes gRPC no válidas a ext_authz, eludiendo las comprobaciones de ext_authz cuando Failure_mode_allow se establece en verdadero. Este problema se solucionó en las versiones 1.29.1, 1.28.1, 1.27.3 y 1.26.7. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/02/2024

Vulnerabilidad en Envoy (CVE-2024-23325)

Fecha de publicación:

09/02/2024

Idioma:

Español

Envoy es un proxy de servicio/intermedio/perimetral de alto rendimiento. Envoy falla en el protocolo Proxy cuando usa un tipo de dirección que no es compatible con el sistema operativo. Envoy es susceptible de fallar en un host con IPv6 deshabilitado y una configuración de escucha con protocolo proxy habilitado cuando recibe una solicitud en la que el cliente presenta su dirección IPv6. Es válido que un cliente presente su dirección IPv6 a un servidor de destino aunque toda la cadena esté conectada a través de IPv4. Este problema se solucionó en las versiones 1.29.1, 1.28.1, 1.27.3 y 1.26.7. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/02/2024

Vulnerabilidad en Envoy (CVE-2024-23327)

Fecha de publicación:

09/02/2024

Idioma:

Español

Envoy es un proxy de servicio/intermedio/perimetral de alto rendimiento. Cuando PPv2 está habilitado tanto en un oyente como en un clúster posterior, la instancia de Envoy generará un error de segmentación al intentar crear el encabezado PPv2 ascendente. Esto ocurre cuando la solicitud descendente tiene un tipo de comando LOCAL y no tiene el bloque de protocolo. Este problema se solucionó en las versiones 1.29.1, 1.28.1, 1.27.3 y 1.26.7. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/02/2024

Vulnerabilidad en pkg (CVE-2024-24828)

Fecha de publicación:

09/02/2024

Idioma:

Español

pkg es una herramienta de diseño para agrupar proyectos de Node.js en archivos ejecutables. Cualquier paquete de código nativo creado por `pkg` se escribe en un directorio codificado. En sistemas Unix, este es `/tmp/pkg/*` que es un directorio compartido para todos los usuarios en el mismo sistema local. Los nombres de los paquetes dentro de este directorio no son únicos, son predecibles. Un atacante que tiene acceso al mismo sistema local tiene la capacidad de reemplazar los ejecutables genuinos en el directorio compartido con ejecutables maliciosos del mismo nombre. Luego, un usuario puede ejecutar el ejecutable malicioso sin darse cuenta de que ha sido modificado. Este paquete está en desuso. Por lo tanto, no se proporcionará ningún parche para esta vulnerabilidad. Para verificar si su ejecutable compilado por pkg depende del código nativo y es vulnerable, ejecute el ejecutable y verifique si se creó `/tmp/pkg/`. Los usuarios deben hacer la transición a alternativas mantenidas activamente. Recomendamos investigar la compatibilidad de Node.js 21 con aplicaciones ejecutables únicas. Dada la decisión de dejar de usar el paquete pkg, nuestro equipo no ha proporcionado soluciones ni soluciones oficiales. Los usuarios deben priorizar la migración a otros paquetes que ofrezcan funciones similares con seguridad mejorada.

Gravedad CVSS v3.1: ALTA

Última modificación:

16/02/2024