Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Socomec MOD3GP-SY-120K (CVE-2023-38582)

Fecha de publicación:
18/09/2023
Idioma:
Español
** NO COMPATIBLE CUANDO ESTÁ ASIGNADO ** Cross-Site Sripting persistente (XSS) en la aplicación web de MOD3GP-SY-120K permite a un atacante remoto autenticado introducir JavaScript arbitrario inyectando un payload XSS en el campo MAIL_RCV. Cuando un usuario legítimo intenta acceder a la página vulnerable de la aplicación web, se ejecutará un payload XSS.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/08/2024

Vulnerabilidad en Cheese Cafe Line v13.6.1 (CVE-2023-39040)

Fecha de publicación:
18/09/2023
Idioma:
Español
Una fuga de información en Cheese Cafe Line v13.6.1 permite a los atacantes obtener el token de acceso al canal y enviar mensajes manipulados.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/09/2024

Vulnerabilidad en Camp Style Project Line v13.6.1 (CVE-2023-39039)

Fecha de publicación:
18/09/2023
Idioma:
Español
Una fuga de información en Camp Style Project Line v13.6.1 permite a los atacantes obtener el token de acceso al canal y enviar mensajes manipulados.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/09/2023

Vulnerabilidad en Socomec MOD3GP-SY-120K (CVE-2023-38255)

Fecha de publicación:
18/09/2023
Idioma:
Español
** NO COMPATIBLE CUANDO ESTÁ ASIGNADO ** Un atacante potencial con o sin acceso (robo de cookies) al dispositivo podría incluir código malicioso (XSS) al cargar una nueva configuración del dispositivo que podría afectar la función prevista del dispositivo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/08/2024

Vulnerabilidad en Socomec MOD3GP-SY-120K (CVE-2023-41084)

Fecha de publicación:
18/09/2023
Idioma:
Español
** NO COMPATIBLE CUANDO ESTÁ ASIGNADO ** La gestión de sesiones dentro de la aplicación web es incorrecta y permite a los atacantes robar cookies de sesión para realizar multitud de acciones que la aplicación web permite en el dispositivo.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
02/08/2024

Vulnerabilidad en Socomec MOD3GP-SY-120K (CVE-2023-41965)

Fecha de publicación:
18/09/2023
Idioma:
Español
** NO COMPATIBLE CUANDO ESTÁ ASIGNADO ** El envío de algunas solicitudes en la aplicación web del dispositivo vulnerable permite obtener información debido a la falta de seguridad en el proceso de autenticación.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2025

Vulnerabilidad en Socomec MOD3GP-SY-120K (CVE-2023-40221)

Fecha de publicación:
18/09/2023
Idioma:
Español
** NO COMPATIBLE CUANDO ESTÁ ASIGNADO *** La ausencia de filtros al cargar algunas secciones en la aplicación web del dispositivo vulnerable permite a los posibles atacantes inyectar código malicioso que se interpretará cuando un usuario legítimo acceda a la sección web (SERVIDOR DE CORREO) donde se muestra la información. La inyección se puede realizar en el parámetro MAIL_RCV. Cuando un usuario legítimo intenta revisar NOTIFICACIÓN/SERVIDOR DE CORREO, se ejecutará el código inyectado.
Gravedad CVSS v3.1: ALTA
Última modificación:
02/08/2024

Vulnerabilidad en FUXA 1.1.13 (CVE-2023-33831)

Fecha de publicación:
18/09/2023
Idioma:
Español
Una vulnerabilidad de ejecución remota de comandos (RCE) en el endpoint /api/runscript de FUXA 1.1.13 permite a los atacantes ejecutar comandos arbitrarios a través de una solicitud POST manipulada.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
19/09/2023

Vulnerabilidad en Juplink RX4-1500 (CVE-2023-41030)

Fecha de publicación:
18/09/2023
Idioma:
Español
Las credenciales codificadas en Juplink RX4-1500 versiones V1.0.2 a V1.0.5 permiten a los atacantes no autenticados iniciar sesión en la interfaz web o en el servicio telnet como usuario "usuario".
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/09/2023

Vulnerabilidad en glibc (CVE-2023-4527)

Fecha de publicación:
18/09/2023
Idioma:
Español
Se encontró una falla en glibc. Cuando se llama a la función getaddrinfo con la familia de direcciones AF_UNSPEC y el sistema está configurado con el modo no-aaaa a través de /etc/resolv.conf, una respuesta DNS a través de TCP de más de 2048 bytes puede potencialmente revelar el contenido de la pila de memoria a través de los datos de la dirección devuelta por la función, y puede provocar un crash.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/05/2026

Vulnerabilidad en glibc (CVE-2023-4806)

Fecha de publicación:
18/09/2023
Idioma:
Español
Se encontró una falla en glibc. En una situación extremadamente rara, la función getaddrinfo puede acceder a la memoria que se ha liberado, lo que provoca un bloqueo de la aplicación. Este problema solo se puede explotar cuando un módulo NSS implementa solo los hooks _nss_*_gethostbyname2_r y _nss_*_getcanonname_r sin implementar el hook _nss_*_gethostbyname3_r. El nombre resuelto debe devolver una gran cantidad de direcciones IPv6 e IPv4, y la llamada a la función getaddrinfo debe tener la familia de direcciones AF_INET6 con AI_CANONNAME, AI_ALL y AI_V4MAPPED como indicadores.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/05/2026

Vulnerabilidad en xui-xray v1.8.3 (CVE-2023-41595)

Fecha de publicación:
18/09/2023
Idioma:
Español
Un problema en xui-xray v1.8.3 permite a las atacantes obtener información sensible a través de la contraseña predeterminada.
Gravedad CVSS v3.1: ALTA
Última modificación:
21/09/2023