Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2021-3896
Fecha de publicación:
04/11/2021
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: CVE-2021-43389. Reason: This candidate is a reservation duplicate of CVE-2021-43389. Notes: All CVE users should reference CVE-2021-43389 instead of this candidate. All references and descriptions in this candidate have been removed to prevent accidental usage
Gravedad: Pendiente de análisis
Última modificación:
07/11/2023

Vulnerabilidad en el archivo iconvdata/iso-2022-jp-3.c de GNU C Library (CVE-2021-43396)
Fecha de publicación:
04/11/2021
Idioma:
Español
** EN DISPUTA ** En el archivo iconvdata/iso-2022-jp-3.c de la Biblioteca C de GNU (también conocida como glibc) 2.34, los atacantes remotos pueden forzar a iconv() a emitir un carácter espurio '\0' a través de datos ISO-2022-JP-3 manipulados que van acompañados de un reinicio de estado interno. Esto puede afectar a la integridad de los datos en ciertos casos de uso de iconv(). NOTA: el proveedor afirma que "el fallo no puede ser invocado a través de la entrada del usuario y requiere que iconv sea invocado con un inbuf NULL, lo que debería requerir un fallo de aplicación separado para hacerlo involuntariamente. Por lo tanto, el fallo no tiene impacto en la seguridad".
Gravedad CVSS v3.1: ALTA
Última modificación:
04/08/2024

Vulnerabilidad en la URL en un esquema en el parámetro de consulta del endpoint en GraphQL Playground (CVE-2021-41249)
Fecha de publicación:
04/11/2021
Idioma:
Español
GraphQL Playground es un IDE de GraphQL para el desarrollo de aplicaciones centradas en graphQL. Todas las versiones de graphql-playground-react anteriores a graphql-playground-react@1.7.28 son vulnerables a las respuestas de introspección de esquema HTTP comprometidas o a los valores de prop de esquema con nombres de tipo GraphQL maliciosos, exponiendo una superficie de ataque de tipo XSS dinámica que puede permitir una inyección de código en la autocompletación de operaciones. Para que el ataque tenga lugar, el usuario debe cargar un esquema malicioso en graphql-playground. Se presentan varias maneras de que esto ocurra, incluyendo la especificación de la URL a un esquema malicioso en el parámetro de consulta del endpoint. Si un usuario hace clic en un enlace a una instalación de GraphQL Playground que especifica un servidor malicioso, puede ejecutarse un JavaScript arbitrario en el navegador del usuario, que puede ser usado para exfiltrar credenciales de usuario u otros objetivos dañinos. Si es usado graphql-playground-react directamente en su aplicación cliente, actualice a la versión 1.7.28 o posterior
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/11/2021

Vulnerabilidad en /admin.html?do=user&act=add en EC Cloud E-Commerce System (CVE-2020-21139)
Fecha de publicación:
04/11/2021
Idioma:
Español
Se ha detectado que EC Cloud E-Commerce System versión v1.3, contiene una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) que permite a atacantes añadir arbitrariamente cuentas de administrador por medio de /admin.html?do=user&act=add
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/11/2021

Vulnerabilidad en el archivo drivers/isdn/capi/kcapi.c en la función detach_capi_ctr en el kernel de Linux (CVE-2021-43389)
Fecha de publicación:
04/11/2021
Idioma:
Español
Se ha detectado un problema en el kernel de Linux versiones anteriores a 5.14.15. Se presenta un fallo de índice de matriz fuera de límites en la función detach_capi_ctr en el archivo drivers/isdn/capi/kcapi.c
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en Sonatype Nexus Repository Manager (CVE-2021-43293)
Fecha de publicación:
04/11/2021
Idioma:
Español
Sonatype Nexus Repository Manager versiones 3.x anteriores a 3.36.0 permite a un atacante remoto autenticado llevar a cabo potencialmente una enumeración de la red por medio de una vulnerabilidad de tipo Server Side Request Forgery (SSRF)
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/11/2021

Vulnerabilidad en el módulo de administración de configuraciones del CP del Administrador en MyBB (CVE-2021-43281)
Fecha de publicación:
04/11/2021
Idioma:
Español
MyBB versiones anteriores a 1.8.29, permite una Inyección de Código Remota por parte de un administrador con el permiso "Can manage settings?". El módulo de administración de configuraciones del CP del Administrador no comprueba correctamente los tipos de configuraciones al insertarlas y actualizarlas, haciendo posible añadir configuraciones del tipo "php" con código PHP, ejecutado en las páginas de cambio de configuraciones
Gravedad CVSS v3.1: ALTA
Última modificación:
05/11/2021

Vulnerabilidad en JupyterHub (CVE-2021-41247)
Fecha de publicación:
04/11/2021
Idioma:
Español
JupyterHub es un servidor multiusuario de código abierto para cuadernos Jupyter. En las versiones afectadas, los usuarios que presentan varias pestañas de JupyterLab abiertas en la misma sesión del navegador, pueden visualizar el cierre de sesión incompleto del servidor monopuesto, ya que las credenciales frescas (sólo para el servidor monopuesto, no para el Hub) son restablecidas después del cierre de sesión, si otra sesión activa de JupyterLab está abierta mientras se produce el cierre de sesión. Actualiza a JupyterHub 1.5. Para los despliegues distribuidos, es jupyterhub en el entorno del _usuario_ el que necesita parches. No es necesario aplicar parches en el entorno del Hub. La única solución es asegurarse de que sólo se presenta una pestaña de JupyterLab abierta cuando se cierra la sesión
Gravedad CVSS v3.1: ALTA
Última modificación:
10/11/2021

Vulnerabilidad en los archivos temporales en Jenkins, LTS (CVE-2021-21693)
Fecha de publicación:
04/11/2021
Idioma:
Español
Cuando son creados archivos temporales, el acceso de agente a controlador para crear esos archivos sólo se comprueba después de haberlos creado en Jenkins versiones 2.318 y anteriores, LTS versiones 2.303.2 y anteriores
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/11/2023

Vulnerabilidad en determinadas operaciones en Jenkins, LTS (CVE-2021-21688)
Fecha de publicación:
04/11/2021
Idioma:
Español
Un control de seguridad agente-a-controlador FilePath#reading(FileVisitor) en Jenkins 2.318 y anteriores, LTS versiones 2.303.2 y anteriores, no rechaza ninguna operación, permitiendo a usuarios tener acceso de lectura sin restricciones usando determinadas operaciones (crear archivos, FilePath#copyRecursiveTo)
Gravedad CVSS v3.1: ALTA
Última modificación:
22/11/2023

Vulnerabilidad en el subsistema de seguridad agente-a-controlador de Jenkins, LTS (CVE-2021-21686)
Fecha de publicación:
04/11/2021
Idioma:
Español
Los filtros de rutas de archivos en el subsistema de seguridad agente-a-controlador de Jenkins versiones 2.318 y anteriores, LTS versiones 2.303.2 y anteriores, no canonizan las rutas, permitiendo que las operaciones sigan enlaces simbólicos a directorios no permitidos
Gravedad CVSS v3.1: ALTA
Última modificación:
22/11/2023

Vulnerabilidad en un enlace simbólico en FilePath#untar en Jenkins, LTS (CVE-2021-21687)
Fecha de publicación:
04/11/2021
Idioma:
Español
Jenkins versiones 2.318 y anteriores, LTS versiones 2.303.2 y anteriores, no comprueban el acceso agente-controlador para crear enlaces simbólicos cuando se desarchiva un enlace simbólico en FilePath#untar
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/11/2023
Suscribirse a Vulnerabilidades