Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-27895

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP Authenticator for Android - version 1.3.0, allows the screen to be captured, if an authorized attacker installs a malicious app on the mobile device. The attacker could extract the currently views of the OTP and the secret OTP alphanumeric token during the token setup. On successful exploitation, an attacker can read some sensitive information but cannot modify and delete the data.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

CVE-2023-27896

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** In SAP BusinessObjects Business Intelligence Platform - version 420, 430, an attacker can control a malicious BOE server, forcing the application server to connect to its own CMS, leading to a high impact on availability.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2023

CVE-2023-27271

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** In SAP BusinessObjects Business Intelligence Platform (Web Services) - versions 420, 430, an attacker can control a malicious BOE server, forcing the application server to connect to its own admintools, leading to a high impact on availability.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2023

CVE-2023-27498

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP Host Agent (SAPOSCOL) - version 7.22, allows an unauthenticated attacker with network access to a server port assigned to the SAP Start Service to submit a crafted request which results in a memory corruption error. This error can be used to reveal but not modify any technical information about the server. It can also make a particular service temporarily unavailable

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2023

CVE-2023-26457

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP Content Server - version 7.53, does not sufficiently encode user-controlled inputs, resulting in Cross-Site Scripting (XSS) vulnerability. After successful exploitation, an attacker can read and modify some sensitive information but cannot delete the data.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

CVE-2023-26459

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** Due to improper input controls In SAP NetWeaver AS for ABAP and ABAP Platform - versions 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 791, an attacker authenticated as a non-administrative user can craft a request which will trigger the application server to send a request to an arbitrary URL which can reveal, modify or make unavailable non-sensitive information, leading to low impact on Confidentiality, Integrity and Availability.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2023

CVE-2023-26460

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** Cache Management Service in SAP NetWeaver Application Server for Java - version 7.50, does not perform any authentication checks for functionalities that require user identity

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

CVE-2023-26461

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP NetWeaver allows (SAP Enterprise Portal) - version 7.50, allows an authenticated attacker with sufficient privileges to access the XML parser which can submit a crafted XML file which when parsed will enable them to access but not modify sensitive files and data. It allows the attacker to view sensitive data which is owned by certain privileges.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

CVE-2023-27270

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP NetWeaver Application Server for ABAP and ABAP Platform - versions 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 791, has multiple vulnerabilities in a class for test purposes in which an attacker authenticated as a non-administrative user can craft a request with certain parameters, which will consume the server&#39;s resources sufficiently to make it unavailable. There is no ability to view or modify any information.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

CVE-2023-27268

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP NetWeaver AS Java (Object Analyzing Service) - version 7.50, does not perform necessary authorization checks, allowing an unauthenticated attacker to attach to an open interface and make use of an open naming and directory API to access a service which will enable them to access but not modify server settings and data with no effect on availability., resulting in escalation of privileges.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/04/2023

CVE-2023-27269

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP NetWeaver Application Server for ABAP and ABAP Platform - versions 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 791, allows an attacker with non-administrative authorizations to exploit a directory traversal flaw in an available service to overwrite the system files. In this attack, no data can be read but potentially critical OS files can be overwritten making the system unavailable.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/04/2023

CVE-2023-23857

Fecha de publicación:

14/03/2023

Idioma:

Inglés

*** Pendiente de traducción *** Due to missing authentication check, SAP NetWeaver AS for Java - version 7.50, allows an unauthenticated attacker to attach to an open interface and make use of an open naming and directory API to access services which can be used to perform unauthorized operations affecting users and services across systems. On a successful exploitation, the attacker can read and modify some sensitive information but can also be used to lock up any element or operation of the system making that it unresponsive or unavailable.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2023

Suscribirse a Vulnerabilidades