Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en unas peticiones HTTP en IBM Security Verify Access Docker (CVE-2021-20498)

Fecha de publicación:
15/07/2021
Idioma:
Español
IBM Security Verify Access Docker 10.0.0 revela información de la versión en las solicitudes HTTP que podría utilizarse en otros ataques contra el sistema. ID de IBM X-Force: 197972
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/07/2022

Vulnerabilidad en la ruta de los archivos y carpetas en Dell Wyse Management Suite (CVE-2021-21587)

Fecha de publicación:
15/07/2021
Idioma:
Español
Dell Wyse Management Suite versiones 3.2 y anteriores contienen una vulnerabilidad de divulgación de ruta completa. Un atacante local no autenticado podría aprovechar esta vulnerabilidad para obtener la ruta de los archivos y carpetas
Gravedad CVSS v3.1: BAJA
Última modificación:
31/07/2021

Vulnerabilidad en la lectura de archivos en el sistema en Wyse Management Suite (CVE-2021-21586)

Fecha de publicación:
15/07/2021
Idioma:
Español
Wyse Management Suite versiones 3.2 y anteriores contienen una vulnerabilidad de salto de ruta absoluta. Un usuario malicioso no autenticado remoto podría explotar esta vulnerabilidad para leer archivos arbitrarios en el sistema
Gravedad CVSS v3.1: MEDIA
Última modificación:
31/07/2021

Vulnerabilidad en Palo Alto Networks Cortex XDR agent en plataformas Windows (CVE-2021-3042)

Fecha de publicación:
15/07/2021
Idioma:
Español
Se presenta una vulnerabilidad de escalada de privilegios (PE) local en Palo Alto Networks Cortex XDR agent en plataformas Windows, que permite a un usuario local de Windows autenticado ejecutar programas con privilegios SYSTEM. Explotando esta vulnerabilidad requiere a un usuario tener privilegios de creación de archivos en el directorio root de Windows (como C:\). Este problema afecta a: Todas las versiones del agente Cortex XDR 6.1 sin la actualización de contenido 181 o una versión posterior; Todas las versiones del agente Cortex XDR 7.2 sin la actualización de contenido 181 o una versión posterior; Todas las versiones del agente Cortex XDR 7.3 sin la actualización de contenido 181 o una versión posterior. Unas versiones del agente Cortex XDR 5.0 no se ven afectadas por este problema. Las actualizaciones de contenido son requeridas para resolver este problema y se aplican automáticamente para el agente
Gravedad CVSS v3.1: ALTA
Última modificación:
27/07/2021

Vulnerabilidad en la consola web basada en el navegador en Prisma Cloud Compute web console (CVE-2021-3043)

Fecha de publicación:
15/07/2021
Idioma:
Español
Se presenta una vulnerabilidad de tipo cross-site scripting (XSS) reflejado en Prisma Cloud Compute web console que permite a un atacante remoto ejecutar código JavaScript arbitrario en la consola web basada en el navegador mientras un administrador autenticado está usando esa interfaz web. Unas versiones de Prisma Cloud Compute SaaS se actualizaron automáticamente a la versión corregida. No se requiere ninguna acción adicional para estas instancias. Este problema afecta: Prisma Cloud Compute versión 20.12 versiones anteriores a Prisma Cloud Compute 20.12.552; Prisma Cloud Compute versiones 21.04 anteriores a Prisma Cloud Compute versión 21.04.439
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/07/2021

Vulnerabilidad en una URL con una etiqueta de imagen HTML en MuWire (CVE-2021-32750)

Fecha de publicación:
15/07/2021
Idioma:
Español
MuWire es una herramienta de publicación de archivos y redes que protege la identidad de sus usuarios al usar la tecnología I2P. Unos usuarios de MuWire desktop client versiones anteriores a 0.8.8, pueden ser desanonimizados por un atacante que conozca su ID completa. Un atacante podría enviar un mensaje con una línea de asunto conteniendo una URL con una etiqueta de imagen HTML y el cliente MuWire trataría de obtener esa imagen por medio de clearnet, exponiendo así la dirección IP del usuario. El problema es corregido en MuWire versión 0.8.8. Como solución, los usuarios pueden desactivar la funcionalidad de mensajería para prevenir a otros usuarios de enviar mensajes maliciosos
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/07/2022

Vulnerabilidad en los URIs en Eclipse Jetty (CVE-2021-34429)

Fecha de publicación:
15/07/2021
Idioma:
Español
Para Eclipse Jetty versiones 9.4.37-9.4.42, 10.0.1-10.0.5 y 11.0.1-11.0.5, los URIs pueden ser diseñados usando algunos caracteres codificados para acceder al contenido del directorio WEB-INF y/o omitir algunas restricciones de seguridad. Esta es una variación de la vulnerabilidad reportada en CVE-2021-28164/GHSA-v7ff-8wcx-gmc5
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en DEPSTECH WiFi Digital Microscope 3 (CVE-2020-12732)

Fecha de publicación:
15/07/2021
Idioma:
Español
DEPSTECH WiFi Digital Microscope 3, presenta un SSID por defecto de Jetion_xxxxxxxx con una contraseña de 12345678
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/07/2022

Vulnerabilidad en el SSID y la contraseña en DEPSTECH WiFi Digital Microscope 3 (CVE-2020-12734)

Fecha de publicación:
15/07/2021
Idioma:
Español
DEPSTECH WiFi Digital Microscope 3 permite a atacantes remotos cambiar el SSID y la contraseña, y exigir el pago de un rescate al propietario legítimo del dispositivo, ya que no hay forma de restablecer la configuración de fábrica
Gravedad CVSS v3.1: ALTA
Última modificación:
12/07/2022

Vulnerabilidad en el almacenamiento de las credenciales de usuario en IBM Security Access Manager e IBM Security Verify Access Docker (CVE-2021-20439)

Fecha de publicación:
15/07/2021
Idioma:
Español
IBM Security Access Manager versión 9.0 e IBM Security Verify Access Docker versión 10.0.0, almacenan las credenciales de usuario en texto sin cifrar que puede ser leído por un usuario no autorizado
Gravedad CVSS v3.1: ALTA
Última modificación:
31/07/2021

Vulnerabilidad en IBM Secure External Authentication Server e IBM Secure Proxy (CVE-2021-29725)

Fecha de publicación:
15/07/2021
Idioma:
Español
IBM Secure External Authentication Server versiones 2.4.3.2, 6.0.1, 6.0.2 e IBM Secure Proxy versiones 3.4.3.2, 6.0.1, 6.0.2, podrían permitir a un usuario remoto consumir recursos causando una denegación de servicio debido a una fuga de recursos
Gravedad CVSS v3.1: ALTA
Última modificación:
19/03/2024

Vulnerabilidad en IBM Secure External Authentication Server e IBM Secure Proxy (CVE-2021-29749)

Fecha de publicación:
15/07/2021
Idioma:
Español
IBM Secure External Authentication Server versión 6.0.2 e IBM Secure Proxy versión 6.0.2 son vulnerables a un ataque de tipo server-side request forgery (SSRF). Esto puede permitir a un atacante autenticado enviar peticiones no autorizadas desde el sistema, conllevando potencialmente a la enumeración de la red o facilitar otros ataques. IBM X-Force ID: 201777
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/03/2024