Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-1608

Fecha de publicación:
23/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was found in Zhong Bang CRMEB Java up to 1.3.4. It has been declared as critical. This vulnerability affects the function getAdminList of the file /api/admin/store/product/list. The manipulation of the argument cateId leads to sql injection. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used. VDB-223738 is the identifier assigned to this vulnerability.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/05/2024

CVE-2023-25654

Fecha de publicación:
23/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** baserCMS is a Content Management system. Prior to version 4.7.5, there is a Remote Code Execution (RCE) Vulnerability in the management system of baserCMS. Version 4.7.5 contains a patch.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/03/2023

CVE-2023-1544

Fecha de publicación:
23/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in the QEMU implementation of VMWare's paravirtual RDMA device. This flaw allows a crafted guest driver to allocate and initialize a huge number of page tables to be used as a ring of descriptors for CQ and async events, potentially leading to an out-of-bounds read and crash of QEMU.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2025

CVE-2020-19786

Fecha de publicación:
23/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** File upload vulnerability in CSKaza CSZ CMS v.1.2.2 fixed in v1.2.4 allows attacker to execute aritrary commands and code via crafted PHP file.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/02/2025

Vulnerabilidad en novel-plus 3.6.2 (CVE-2023-1606)

Fecha de publicación:
23/03/2023
Idioma:
Español
Se encontró una vulnerabilidad en novel-plus 3.6.2 y se clasificó como crítica. Este problema afecta a algunas funciones desconocidas del archivo DictController.java. La manipulación del argumento orderby conduce a la inyección sql. El ataque puede ser lanzado de forma remota. El exploit ha sido divulgado al público y puede ser utilizado. El identificador de esta vulnerabilidad es VDB-223736.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/05/2024

CVE-2023-1605

Fecha de publicación:
23/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** Denial of Service in GitHub repository radareorg/radare2 prior to 5.8.6.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/03/2023

CVE-2023-26008

Fecha de publicación:
23/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** Auth. (admin+) Stored Cross-Site Scripting (XSS) vulnerability in Ajay D'Souza Top 10 – Popular posts plugin for WordPress plugin
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

CVE-2023-25992

Fecha de publicación:
23/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** Auth. (admin+) Stored Cross-Site Scripting (XSS) vulnerability in CreativeMindsSolutions CM Answers plugin
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

CVE-2023-25456

Fecha de publicación:
23/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** Auth. (admin+) Stored Cross-Site Scripting (XSS) vulnerability in Klaviyo, Inc. Klaviyo plugin
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

CVE-2023-27094

Fecha de publicación:
23/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** An issue found in OpenGoofy Hippo4j v.1.4.3 allows attackers to escalate privileges via the ThreadPoolController of the tenant Management module.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/02/2025

CVE-2023-23707

Fecha de publicación:
23/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting'), Unrestricted Upload of File with Dangerous Type vulnerability in Awsm Innovations Embed Any Document – Embed PDF, Word, PowerPoint and Excel Files allows Stored XSS via upload of SVG and HTML files. This issue affects Embed Any Document – Embed PDF, Word, PowerPoint and Excel Files plugin
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

CVE-2023-20107

Fecha de publicación:
23/03/2023
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability in the deterministic random bit generator (DRBG), also known as pseudorandom number generator (PRNG), in Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software for Cisco ASA 5506-X, ASA 5508-X, and ASA 5516-X Firewalls could allow an unauthenticated, remote attacker to cause a cryptographic collision, enabling the attacker to discover the private key of an affected device. This vulnerability is due to insufficient entropy in the DRBG for the affected hardware platforms when generating cryptographic keys. An attacker could exploit this vulnerability by generating a large number of cryptographic keys on an affected device and looking for collisions with target devices. A successful exploit could allow the attacker to impersonate an affected target device or to decrypt traffic secured by an affected key that is sent to or from an affected target device.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/04/2023