Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Zoho ManageEngine Desktop Central (CVE-2021-44515)

Fecha de publicación:

12/12/2021

Idioma:

Español

Zoho ManageEngine Desktop Central es vulnerable a una omisión de autenticación, conllevando a una ejecución de código remota en el servidor, como es explotada "in the wild" en diciembre de 2021. Para las versiones Enterprise 10.1.2127.17 y anteriores, actualice a 10.1.2127.18. Para las versiones 10.1.2128.0 a 10.1.2137.2 de Enterprise, actualice a 10.1.2137.3. Para las versiones de MSP 10.1.2127.17 y anteriores, actualice a 10.1.2127.18. Para las versiones de MSP 10.1.2128.0 a 10.1.2137.2, actualice a 10.1.2137.3

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/03/2025

Vulnerabilidad en phpservermon (CVE-2021-4097)

Fecha de publicación:

12/12/2021

Idioma:

Español

phpservermon es vulnerable a una Neutralización Inapropiada de Secuencias CRLF

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/12/2021

Vulnerabilidad en yetiforcecrm (CVE-2021-4092)

Fecha de publicación:

11/12/2021

Idioma:

Español

yetiforcecrm es vulnerable a un ataque de tipo Cross-Site Request Forgery (CSRF)

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/12/2021

Vulnerabilidad en un nombre de archivo en una ruta como parámetro en algunos métodos REST en OpenOlat (CVE-2021-41242)

Fecha de publicación:

10/12/2021

Idioma:

Español

OpenOlat es un sistema de administración de aprendizaje basado en la web. Se presenta una vulnerabilidad de salto de ruta en OpenOlat versiones anteriores a 15.5.12 y 16.0.5. Al proporcionar un nombre de archivo que contiene una ruta relativa como parámetro en algunos métodos REST, es posible crear estructuras de directorio y escribir archivos en cualquier lugar del sistema de destino. El ataque podría ser usado para escribir archivos en cualquier lugar de la carpeta root de la web o fuera de ella, dependiendo de la configuración del sistema y del permiso correctamente configurado del usuario del servidor de aplicaciones. El ataque requiere una cuenta de usuario OpenOlat, una API REST habilitada y los derechos sobre un objeto de negocio para llamar a las llamadas REST vulnerables. El problema ha sido corregido en las versiones 15.5.12 y 16.0.5. Se presenta una solución disponible. La vulnerabilidad requiere que el módulo REST esté habilitado. Deshabilitar el módulo REST o limitar el módulo REST por medio de algún firewall o regla de acceso al servidor web para que sólo sea accedido a sistemas confiables mitigará el riesgo

Gravedad CVSS v3.1: ALTA

Última modificación:

09/08/2022

Vulnerabilidad en una máquina virtual invitada SEV/SEV-ES (CVE-2021-26340)

Fecha de publicación:

10/12/2021

Idioma:

Español

Un Hypervisor malicioso en conjunción con un proceso de atacante no privilegiado dentro de una máquina virtual invitada SEV/SEV-ES puede producir un fallo en el vaciado de la Memoria Intermedia de Traducción (TLB), resultando en un comportamiento no esperado dentro de la máquina virtual (VM)

Gravedad CVSS v3.1: ALTA

Última modificación:

15/12/2021

Vulnerabilidad en System Management Mode (SMM) (CVE-2020-12890)

Fecha de publicación:

10/12/2021

Idioma:

Español

Un manejo inapropiado de los punteros en el código de manejo de System Management Mode (SMM) puede permitir a un atacante privilegiado con acceso físico o administrativo manipular potencialmente la arquitectura de software encapsulado genérico de AMD (AGESA) para ejecutar código arbitrario sin ser detectado por el sistema operativo

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/12/2021

Vulnerabilidad en Grafana (CVE-2021-43815)

Fecha de publicación:

10/12/2021

Idioma:

Español

Grafana es una plataforma de código abierto para la monitorización y la observabilidad. Grafana versiones anteriores a 8.3.2 y 7.5.12, presenta un salto de directorios para archivos .csv arbitrarios. Sólo afecta a las instancias que tienen habilitada y configurada la herramienta de pruebas para desarrolladores llamada fuente de datos TestData DB. La vulnerabilidad presenta un alcance limitado y sólo permite el acceso a los archivos con la extensión .csv a usuarios autenticados. Las instancias de Grafana Cloud no se han visto afectadas por la vulnerabilidad. Las versiones 8.3.2 y 7.5.12 contienen un parche para este problema. Se presenta una solución disponible para usuarios que no pueden actualizar. Ejecutar un proxy inverso frente a Grafana que normalice el PATH de la petición mitigará la vulnerabilidad. El proxy también tendrá que ser capaz de manejar rutas codificadas con url

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/03/2022

Vulnerabilidad en snipe-it (CVE-2021-4089)

Fecha de publicación:

10/12/2021

Idioma:

Español

snipe-it es vulnerable al Control de Acceso Inapropiado

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/08/2022

Vulnerabilidad en la función deepMerge() en el paquete comb (CVE-2021-23561)

Fecha de publicación:

10/12/2021

Idioma:

Español

Todas las versiones del paquete comb son vulnerables a una Contaminación de Prototipos por medio de la función deepMerge()

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/12/2021

Vulnerabilidad en la función mergeDeep() en el paquete merge-deep2 (CVE-2021-23700)

Fecha de publicación:

10/12/2021

Idioma:

Español

Todas las versiones del paquete merge-deep2 son vulnerables a una Contaminación de Prototipos por medio de la función mergeDeep()

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/12/2021

Vulnerabilidad en la biblioteca gray-matter en el paquete md-to-pdf (CVE-2021-23639)

Fecha de publicación:

10/12/2021

Idioma:

Español

El paquete md-to-pdf versiones anteriores a 5.0.0, es vulnerable a una Ejecución de Código Remota (RCE) debido al uso de la biblioteca gray-matter para analizar el contenido del front matter, sin deshabilitar el motor JS

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/12/2021