Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-28851
Fecha de publicación:
03/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** Silverstripe Form Capture provides a method to capture simple silverstripe forms and an admin interface for users. Starting in version 0.2.0 and prior to versions 1.0.2, 1.1.0, 2.2.5, and 3.1.1, improper escaping when presenting stored form submissions allowed for an attacker to perform a Cross-Site Scripting attack. The vulnerability was initially patched in version 1.0.2, and version 1.1.0 includes this patch. The bug was then accidentally re-introduced during a merge error, and has been re-patched in versions 2.2.5 and 3.1.1. There are no known workarounds for this vulnerability.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/04/2023

CVE-2022-43769
Fecha de publicación:
03/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** Hitachi Vantara Pentaho Business Analytics Server prior to versions 9.4.0.1 and 9.3.0.2, including 8.3.x allow certain web services to set property values which contain Spring templates that are interpreted downstream.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/10/2025

CVE-2023-28837
Fecha de publicación:
03/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** Wagtail is an open source content management system built on Django. Prior to versions 4.1.4 and 4.2.2, a memory exhaustion bug exists in Wagtail&amp;#39;s handling of uploaded images and documents. For both images and documents, files are loaded into memory during upload for additional processing. A user with access to upload images or documents through the Wagtail admin interface could upload a file so large that it results in a crash of denial of service.<br /> <br /> The vulnerability is not exploitable by an ordinary site visitor without access to the Wagtail admin. It can only be exploited by admin users with permission to upload images or documents.<br /> <br /> Image uploads are restricted to 10MB by default, however this validation only happens on the frontend and on the backend after the vulnerable code. <br /> <br /> Patched versions have been released as Wagtail 4.1.4 and Wagtail 4.2.2). Site owners who are unable to upgrade to the new versions are encouraged to add extra protections outside of Wagtail to limit the size of uploaded files.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

CVE-2023-28836
Fecha de publicación:
03/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** Wagtail is an open source content management system built on Django. Starting in version 1.5 and prior to versions 4.1.4 and 4.2.2, a stored cross-site scripting (XSS) vulnerability exists on ModelAdmin views within the Wagtail admin interface. A user with a limited-permission editor account for the Wagtail admin could potentially craft pages and documents that, when viewed by a user with higher privileges, could perform actions with that user&amp;#39;s credentials. The vulnerability is not exploitable by an ordinary site visitor without access to the Wagtail admin, and only affects sites with ModelAdmin enabled. For page, the vulnerability is in the "Choose a parent page" ModelAdmin view (`ChooseParentView`), available when managing pages via ModelAdmin. For documents, the vulnerability is in the ModelAdmin Inspect view (`InspectView`) when displaying document fields. Patched versions have been released as Wagtail 4.1.4 and Wagtail 4.2.2. Site owners who are unable to upgrade to the new versions can disable or override the corresponding functionality.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/04/2023

CVE-2023-28834
Fecha de publicación:
03/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** Nextcloud Server is an open source personal cloud server. Nextcloud Server 24.0.0 until 24.0.6 and 25.0.0 until 25.0.4, as well as Nextcloud Enterprise Server 23.0.0 until 23.0.11, 24.0.0 until 24.0.6, and 25.0.0 until 25.0.4, have an information disclosure vulnerability. A user was able to get the full data directory path of the Nextcloud server from an API endpoint. By itself this information is not problematic as it can also be guessed for most common setups, but it could speed up other unknown attacks in the future if the information is known. Nextcloud Server 24.0.6 and 25.0.4 and Nextcloud Enterprise Server 23.0.11, 24.0.6, and 25.0.4 contain patches for this issue. There are no known workarounds.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/04/2023

Vulnerabilidad en Frrouting frr-bgpd (CVE-2022-36440)
Fecha de publicación:
03/04/2023
Idioma:
Español
Se encontró una afirmación accesible en Frrouting frr-bgpd 8.3.0 en la función peek_for_as4_capability. Los atacantes pueden construir maliciosamente paquetes abiertos BGP y enviarlos a pares BGP que ejecutan frr-bgpd, lo que resulta en DoS.
Gravedad CVSS v3.1: ALTA
Última modificación:
01/02/2024

CVE-2023-0975
Fecha de publicación:
03/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** <br /> A vulnerability exists in Trellix Agent for Windows version 5.7.8 and earlier, that allows local users, during install/upgrade workflow, to replace one of the Agent’s executables before it can be executed. This allows the user to elevate their permissions.<br /> <br />
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

CVE-2022-38072
Fecha de publicación:
03/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** An improper array index validation vulnerability exists in the stl_fix_normal_directions functionality of ADMesh Master Commit 767a105 and v0.98.4. A specially-crafted stl file can lead to a heap buffer overflow. An attacker can provide a malicious file to trigger this vulnerability.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/04/2023

CVE-2023-0977
Fecha de publicación:
03/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** <br /> A heap-based overflow vulnerability in Trellix Agent (Windows and Linux) version 5.7.8 and earlier, allows a remote user to alter the page heap in the macmnsvc process memory block resulting in the service becoming unavailable.<br /> <br />
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

CVE-2023-1330
Fecha de publicación:
03/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** The Redirection WordPress plugin before 1.1.4 does not add nonce verification in place when adding the redirect, which could allow attackers to add redirects via a CSRF attack.
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/02/2025

CVE-2023-1377
Fecha de publicación:
03/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** The Solidres WordPress plugin through 0.9.4 does not sanitise and escape numerous parameter before outputting them back in pages, leading to Reflected Cross-Site Scripting which could be used against high privilege users such as admin
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/02/2025

CVE-2022-38922
Fecha de publicación:
03/04/2023
Idioma:
Inglés
*** Pendiente de traducción *** BluePage CMS thru 3.9 processes an insufficiently sanitized HTTP Header Cookie value allowing MySQL Injection in the &amp;#39;users-cookie-settings&amp;#39; token using a Time-based blind SLEEP payload.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
18/02/2025
Suscribirse a Vulnerabilidades