Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en WP AutoComplete Search de WordPress (CVE-2022-4297)
Fecha de publicación:
02/01/2023
Idioma:
Español
El complemento WP AutoComplete Search de WordPress hasta la versión 1.0.4 no sanitiza ni escapa un parámetro antes de usarlo en una declaración SQL a través de un AJAX disponible para usuarios no autenticados, lo que lleva a una inyección SQL no autenticado.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
11/04/2025

Vulnerabilidad en OpenDNS OpenResolve (CVE-2015-10011)
Fecha de publicación:
02/01/2023
Idioma:
Español
Una vulnerabilidad ha sido encontrada en OpenDNS OpenResolve y clasificada como problemática. Esto afecta a una parte desconocida del archivo resolverapi/endpoints.py. La manipulación conduce a una neutralización inadecuada de la salida de troncos. El identificador del parche es 9eba6ba5abd89d0e36a008921eb307fcef8c5311. Se recomienda aplicar un parche para solucionar este problema. A esta vulnerabilidad se le asignó el identificador VDB-217197.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/05/2024

Vulnerabilidad en WP User de WordPress (CVE-2022-4049)
Fecha de publicación:
02/01/2023
Idioma:
Español
El complemento WP User de WordPress hasta la versión 7.0 no sanitiza ni escapa adecuadamente un parámetro antes de usarlo en una declaración SQL, lo que genera una inyección SQL explotable por usuarios no autenticados.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/04/2025

Vulnerabilidad en Team Members de WordPress (CVE-2022-3936)
Fecha de publicación:
02/01/2023
Idioma:
Español
El complemento Team Members de WordPress anterior a 5.2.1 no sanitiza ni escapa a algunas de sus configuraciones, lo que podría permitir a usuarios con altos privilegios, como editores, realizar cross-site scripting almacenado incluso cuando la capacidad unfiltered_html no está permitida (por ejemplo, en un configuración multisitio).
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/04/2025

Vulnerabilidad en Build App Online de WordPress (CVE-2022-3241)
Fecha de publicación:
02/01/2023
Idioma:
Español
El complemento Build App Online de WordPress anterior a 1.0.19 no sanitiza ni escapa adecuadamente algunos parámetros antes de usarlos en una declaración SQL a través de una acción AJAX disponible para usuarios no autenticados, lo que lleva a una inyección de SQL.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/04/2025

Vulnerabilidad en Visual Email Designer for WooCommerce de WordPress (CVE-2022-3860)
Fecha de publicación:
02/01/2023
Idioma:
Español
El complemento Visual Email Designer for WooCommerce de WordPress anterior a 1.7.2 no sanitiza ni escapa adecuadamente un parámetro antes de usarlo en una declaración SQL, lo que genera una inyección de SQL explotable por usuarios con un rol tan bajo como el de autor.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/04/2025

Vulnerabilidad en iubenda de WordPress (CVE-2022-3911)
Fecha de publicación:
02/01/2023
Idioma:
Español
El complemento iubenda de WordPress en sus versiones anteriores a la 3.3.3 no tiene autorización ni CSRF en una acción AJAX, y no asegura que las opciones a actualizar pertenezcan al complemento siempre que sean arrays. Como resultado, cualquier usuario autenticado, como el suscriptor, puede otorgarse a sí mismo cualquier privilegio, como edit_plugins, etc.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/04/2025

Vulnerabilidad en Authenticator de WordPress (CVE-2022-3994)
Fecha de publicación:
02/01/2023
Idioma:
Español
El complemento Authenticator de WordPress anterior a 1.3.1 no impide que los suscriptores actualicen el token de acceso al feed de un sitio, lo que puede negar a otros usuarios el acceso a la funcionalidad en ciertas configuraciones.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/04/2025

Vulnerabilidad en Autoptimize de WordPress (CVE-2022-4057)
Fecha de publicación:
02/01/2023
Idioma:
Español
El complemento Autoptimize de WordPress anterior a 3.1.0 utiliza una ruta fácilmente adivinable para almacenar las configuraciones y los registros exportados del complemento.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/04/2025

Vulnerabilidad en Cryptocurrency Widgets Pack de WordPress (CVE-2022-4059)
Fecha de publicación:
02/01/2023
Idioma:
Español
El complemento Cryptocurrency Widgets Pack de WordPress anterior a 2.0 no sanitiza ni escapa algunos parámetros antes de usarlo en una declaración SQL a través de una acción AJAX disponible para usuarios no autenticados, lo que lleva a una inyección SQL.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/04/2025

Vulnerabilidad en OpenDNS OpenResolve (CVE-2015-10010)
Fecha de publicación:
02/01/2023
Idioma:
Español
Se encontró una vulnerabilidad en OpenDNS OpenResolve. Ha sido calificada como problemática. La función get del archivo resolverapi/endpoints.py del componente API es afectada por esta vulnerabilidad. La manipulación conduce a cross-site scripting. El ataque puede lanzarse de forma remota. La complejidad de un ataque es bastante alta. Se sabe que la explotación es difícil. El nombre del parche es c680170d5583cd9342fe1af43001fe8b2b8004dd. Se recomienda aplicar un parche para solucionar este problema. El identificador de esta vulnerabilidad es VDB-217196.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/05/2024

Vulnerabilidad en kenny2automate de Discord (CVE-2023-22452)
Fecha de publicación:
02/01/2023
Idioma:
Inglés
*** Pendiente de traducción *** kenny2automate is a Discord bot. In the web interface for server settings, form elements were generated with Discord channel IDs as part of input names. Prior to commit a947d7c, no validation was performed to ensure that the channel IDs submitted actually belonged to the server being configured. Thus anyone who has access to the channel ID they wish to change settings for and the server settings panel for any server could change settings for the requested channel no matter which server it belonged to. Commit a947d7c resolves the issue and has been deployed to the official instance of the bot. The only workaround that exists is to disable the web config entirely by changing it to run on localhost. Note that a workaround is only necessary for those who run their own instance of the bot.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/01/2023
Suscribirse a Vulnerabilidades