Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-3722

Fecha de publicación:

19/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** An OS command injection vulnerability was found in the Avaya Aura Device Services Web application which could allow remote code execution as the Web server user via a malicious uploaded file. This issue affects Avaya Aura Device Services version 8.1.4.0 and earlier.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

28/07/2023

CVE-2023-37276

Fecha de publicación:

19/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** aiohttp is an asynchronous HTTP client/server framework for asyncio and Python. aiohttp v3.8.4 and earlier are bundled with llhttp v6.0.6. Vulnerable code is used by aiohttp for its HTTP request parser when available which is the default case when installing from a wheel. This vulnerability only affects users of aiohttp as an HTTP server (ie `aiohttp.Application`), you are not affected by this vulnerability if you are using aiohttp as an HTTP client library (ie `aiohttp.ClientSession`). Sending a crafted HTTP request will cause the server to misinterpret one of the HTTP header values leading to HTTP request smuggling. This issue has been addressed in version 3.8.5. Users are advised to upgrade. Users unable to upgrade can reinstall aiohttp using `AIOHTTP_NO_EXTENSIONS=1` as an environment variable to disable the llhttp HTTP request parser implementation. The pure Python implementation isn&#39;t vulnerable.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/11/2023

CVE-2023-37899

Fecha de publicación:

19/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** Feathersjs is a framework for creating web APIs and real-time applications with TypeScript or JavaScript. Feathers socket handler did not catch invalid string conversion errors like `const message = ${{ toString: &#39;&#39; }}` which would cause the NodeJS process to crash when sending an unexpected Socket.io message like `socket.emit(&#39;find&#39;, { toString: &#39;&#39; })`. A fix has been released in versions 5.0.8 and 4.5.18. Users are advised to upgrade. There is no known workaround for this vulnerability.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/07/2023

CVE-2023-3674

Fecha de publicación:

19/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in the keylime attestation verifier, which fails to flag a device&#39;s submitted TPM quote as faulty when the quote&#39;s signature does not validate for some reason. Instead, it will only emit an error in the log without flagging the device as untrusted.

Gravedad CVSS v3.1: BAJA

Última modificación:

25/04/2024

CVE-2023-3467

Fecha de publicación:

19/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** Privilege Escalation to root administrator (nsroot)

Gravedad CVSS v3.1: ALTA

Última modificación:

28/07/2023

CVE-2023-3466

Fecha de publicación:

19/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** Reflected Cross-Site Scripting (XSS)

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/07/2023

CVE-2023-37733

Fecha de publicación:

19/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** An arbitrary file upload vulnerability in tduck-platform v4.0 allows attackers to execute arbitrary code via a crafted HTML file.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/07/2023

CVE-2023-3519

Fecha de publicación:

19/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** Unauthenticated remote code execution

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/10/2025

CVE-2023-37748

Fecha de publicación:

19/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** ngiflib commit 5e7292 was discovered to contain an infinite loop via the function DecodeGifImg at ngiflib.c.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/07/2023

CVE-2023-25838

Fecha de publicación:

19/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** There is SQL injection vulnerability in Esri ArcGIS Insights 2022.1 for ArcGIS Enterprise and that may allow a remote, authorized attacker to execute arbitrary SQL commands against the back-end database. The effort required to generate the crafted input required to exploit this issue is complex and requires significant effort before a successful attack can be expected.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/05/2024

CVE-2023-32263

Fecha de publicación:

19/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** A potential vulnerability has been identified in the Micro Focus Dimensions CM Plugin for Jenkins. The vulnerability could be exploited to retrieve a login certificate if an authenticated user is duped into using an attacker-controlled Dimensions CM server. This vulnerability only applies when the Jenkins plugin is configured to use login certificate credentials. https://www.jenkins.io/security/advisory/2023-06-14/

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/07/2023

CVE-2023-32262

Fecha de publicación:

19/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** A potential vulnerability has been identified in the Micro Focus Dimensions CM Plugin for Jenkins. The vulnerability allows attackers with Item/Configure permission to access and capture credentials they are not entitled to. See the following Jenkins security advisory for details: * https://www.jenkins.io/security/advisory/2023-06-14/ https://www.jenkins.io/security/advisory/2023-06-14/

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/07/2023

Suscribirse a Vulnerabilidades