Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-40751

Fecha de publicación:
28/08/2023
Idioma:
Inglés
*** Pendiente de traducción *** PHPJabbers Fundraising Script v1.0 is vulnerable to Cross Site Scripting (XSS) via the "action" parameter of index.php.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

CVE-2023-40750

Fecha de publicación:
28/08/2023
Idioma:
Inglés
*** Pendiente de traducción *** There is a Cross Site Scripting (XSS) vulnerability in the "action" parameter of index.php in PHPJabbers Yacht Listing Script v1.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

CVE-2023-40749

Fecha de publicación:
28/08/2023
Idioma:
Inglés
*** Pendiente de traducción *** PHPJabbers Food Delivery Script v3.0 is vulnerable to SQL Injection in the "column" parameter of index.php.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/11/2023

CVE-2023-40748

Fecha de publicación:
28/08/2023
Idioma:
Inglés
*** Pendiente de traducción *** PHPJabbers Food Delivery Script 3.0 has a SQL injection (SQLi) vulnerability in the "q" parameter of index.php.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/11/2023

CVE-2018-25089

Fecha de publicación:
28/08/2023
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was found in glb Meetup Tag Extension 0.1 on MediaWiki. It has been rated as problematic. This issue affects some unknown processing of the component Link Attribute Handler. The manipulation leads to use of web link to untrusted target with window.opener access. Upgrading to version 0.2 is able to address this issue. The identifier of the patch is 850c726d6bbfe0bf270801fbb92a30babea4155c. It is recommended to upgrade the affected component. The identifier VDB-238157 was assigned to this vulnerability.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/05/2024

CVE-2017-20186

Fecha de publicación:
28/08/2023
Idioma:
Inglés
*** Pendiente de traducción *** ** UNSUPPORTED WHEN ASSIGNED ** A vulnerability was found in nikooo777 ckSurf up to 1.19.2. It has been declared as problematic. This vulnerability affects the function SpecListMenuDead of the file csgo/addons/sourcemod/scripting/ckSurf/misc.sp of the component Spectator List Name Handler. The manipulation of the argument cleanName leads to denial of service. Upgrading to version 1.21.0 is able to address this issue. The name of the patch is fd6318d99083a06363091441a0614bd2f21068e6. It is recommended to upgrade the affected component. The identifier of this vulnerability is VDB-238156. NOTE: This vulnerability only affects products that are no longer supported by the maintainer.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/08/2024

CVE-2023-36481

Fecha de publicación:
28/08/2023
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in Samsung Exynos Mobile Processor and Wearable Processor 9810, 9610, 9820, 980, 850, 1080, 2100, 2200, 1280, 1380, 1330, 9110, and W920. Improper handling of PPP length parameter inconsistency can cause an infinite loop.
Gravedad CVSS v3.1: ALTA
Última modificación:
31/08/2023

Vulnerabilidad en Sliver (CVE-2023-34758)

Fecha de publicación:
28/08/2023
Idioma:
Español
Sliver desde la versión 1.5.x hasta la versión 1.5.39 tiene una implementación criptográfica incorrecta, que permite a los atacantes ejecutar un ataque man-in-the-middle a través de respuestas interceptadas y manipuladas.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/09/2023

CVE-2022-46783

Fecha de publicación:
28/08/2023
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in Stormshield SSL VPN Client before 3.2.0. If multiple address books are used, an attacker may be able to access the other encrypted address book.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/09/2023

CVE-2023-26095

Fecha de publicación:
28/08/2023
Idioma:
Inglés
*** Pendiente de traducción *** ASQ in Stormshield Network Security (SNS) 4.3.15 before 4.3.16 and 4.6.x before 4.6.3 allows a crash when analysing a crafted SIP packet.
Gravedad CVSS v3.1: ALTA
Última modificación:
02/10/2024

CVE-2023-27604

Fecha de publicación:
28/08/2023
Idioma:
Inglés
*** Pendiente de traducción *** Apache Airflow Sqoop Provider, versions before 4.0.0, is affected by a vulnerability that allows an attacker pass parameters with the connections, which makes it possible to implement RCE attacks via ‘sqoop import --connect’, obtain airflow server permissions, etc. The attacker needs to be logged in and have authorization (permissions) to create/edit connections.<br /> <br /> It is recommended to upgrade to a version that is not affected.<br /> This issue was reported independently by happyhacking-k, And Xie Jianming and LiuHui of Caiji Sec Team also reported it.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/09/2024

CVE-2023-40195

Fecha de publicación:
28/08/2023
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of Untrusted Data, Inclusion of Functionality from Untrusted Control Sphere vulnerability in Apache Software Foundation Apache Airflow Spark Provider.<br /> <br /> When the Apache Spark provider is installed on an Airflow deployment, an Airflow user that is authorized to configure Spark hooks can effectively run arbitrary code on the Airflow node by pointing it at a malicious Spark server. Prior to version 4.1.3, this was not called out in the documentation explicitly, so it is possible that administrators provided authorizations to configure Spark hooks without taking this into account. We recommend administrators to review their configurations to make sure the authorization to configure Spark hooks is only provided to fully trusted users.<br /> <br /> To view the warning in the docs please visit  https://airflow.apache.org/docs/apache-airflow-providers-apache-spark/4.1.3/connections/spark.html <br /> <br />
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2025