Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-37714

Fecha de publicación:

14/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** Tenda F1202 V1.0BR_V1.2.0.20(408), FH1202_V1.2.0.19_EN were discovered to contain a stack overflow in the page parameter in the function fromRouteStatic.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

21/07/2023

CVE-2023-37715

Fecha de publicación:

14/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** Tenda F1202 V1.0BR_V1.2.0.20(408), FH1202_V1.2.0.19_EN were discovered to contain a stack overflow in the page parameter in the function frmL7ProtForm.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

21/07/2023

CVE-2023-37716

Fecha de publicación:

14/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** Tenda F1202 V1.0BR_V1.2.0.20(408) and FH1202_V1.2.0.19_EN, AC10 V1.0, AC1206 V1.0, AC7 V1.0, AC5 V1.0, and AC9 V3.0 were discovered to contain a stack overflow in the page parameter in the function fromNatStaticSetting.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

21/07/2023

Vulnerabilidad en vm2 (CVE-2023-37466)

Fecha de publicación:

14/07/2023

Idioma:

Español

vm2 es una máquina virtual/sandbox avanzada para Node.js. La librería contiene problemas de seguridad críticos y no debe usarse para producción. El mantenimiento del proyecto ha sido descontinuado. En vm2 para versiones hasta 3.9.19, la sanitización del controlador `Promise` se puede omitir con la propiedad de acceso `@@species`, lo que permite a los atacantes escapar del entorno limitado y ejecutar código arbitrario, lo que potencialmente permite la ejecución remota de código dentro del contexto del entorno limitado de vm2.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

05/01/2026

CVE-2023-37837

Fecha de publicación:

13/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** libjpeg commit db33a6e was discovered to contain a heap buffer overflow via LineBitmapRequester::EncodeRegion at linebitmaprequester.cpp. This vulnerability allows attackers to cause a Denial of Service (DoS) via a crafted file.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/07/2023

CVE-2023-37836

Fecha de publicación:

13/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** libjpeg commit db33a6e was discovered to contain a reachable assertion via BitMapHook::BitMapHook at bitmaphook.cpp. This vulnerability allows attackers to cause a Denial of Service (DoS) via a crafted file.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/07/2023

CVE-2023-37272

Fecha de publicación:

13/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** JS7 is an Open Source Job Scheduler. Users specify file names when uploading files holding user-generated documentation for JOC Cockpit. Specifically crafted file names allow an XSS attack to inject code that is executed with the browser. Risk of the vulnerability is considered high for branch 1.13 of JobScheduler (JS1). The vulnerability does not affect branch 2.x of JobScheduler (JS7) for releases after 2.1.0. The vulnerability is resolved with release 1.13.19.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/07/2023

CVE-2023-37278

Fecha de publicación:

13/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** GLPI is a Free Asset and IT Management Software package, Data center management, ITIL Service Desk, licenses tracking and software auditing. An administrator can trigger SQL injection via dashboards administration. This vulnerability has been patched in version 10.0.9.<br /> <br />

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/07/2023

CVE-2023-37275

Fecha de publicación:

13/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** Auto-GPT is an experimental open-source application showcasing the capabilities of the GPT-4 language model. The Auto-GPT command line UI makes heavy use of color-coded print statements to signify different types of system messages to the user, including messages that are crucial for the user to review and control which commands should be executed. Before v0.4.3, it was possible for a malicious external resource (such as a website browsed by Auto-GPT) to cause misleading messages to be printed to the console by getting the LLM to regurgitate JSON encoded ANSI escape sequences (`\u001b[`). These escape sequences were JSON decoded and printed to the console as part of the model&#39;s "thinking process". The issue has been patched in release version 0.4.3.<br />

Gravedad CVSS v3.1: BAJA

Última modificación:

24/02/2026

CVE-2023-37274

Fecha de publicación:

13/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** Auto-GPT is an experimental open-source application showcasing the capabilities of the GPT-4 language model. When Auto-GPT is executed directly on the host system via the provided run.sh or run.bat files, custom Python code execution is sandboxed using a temporary dedicated docker container which should not have access to any files outside of the Auto-GPT workspace directory.<br /> Before v0.4.3, the `execute_python_code` command (introduced in v0.4.1) does not sanitize the `basename` arg before writing LLM-supplied code to a file with an LLM-supplied name. This allows for a path traversal attack that can overwrite any .py file outside the workspace directory by specifying a `basename` such as `../../../main.py`. This can further be abused to achieve arbitrary code execution on the host running Auto-GPT by e.g. overwriting autogpt/main.py which will be executed outside of the docker environment meant to sandbox custom python code execution the next time Auto-GPT is started. The issue has been patched in version 0.4.3. As a workaround, the risk introduced by this vulnerability can be remediated by running Auto-GPT in a virtual machine, or another environment in which damage to files or corruption of the program is not a critical problem.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/02/2026

CVE-2023-37273

Fecha de publicación:

13/07/2023

Idioma:

Inglés

*** Pendiente de traducción *** Auto-GPT is an experimental open-source application showcasing the capabilities of the GPT-4 language model. Running Auto-GPT version prior to 0.4.3 by cloning the git repo and executing `docker compose run auto-gpt` in the repo root uses a different docker-compose.yml file from the one suggested in the official docker set up instructions. The docker-compose.yml file located in the repo root mounts itself into the docker container without write protection. This means that if malicious custom python code is executed via the `execute_python_file` and `execute_python_code` commands, it can overwrite the docker-compose.yml file and abuse it to gain control of the host system the next time Auto-GPT is started. The issue has been patched in version 0.4.3.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/02/2026