Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Link Layer Discovery Protocol (CVE-2022-20686)

Fecha de publicación:

12/12/2022

Idioma:

Español

Múltiples vulnerabilidades en la funcionalidad del Link Layer Discovery Protocol (LLDP) del firmware de Cisco ATA 190 Series Analog Telephone Adapter podrían permitir que un atacante remoto no autenticado ejecute código arbitrario en un dispositivo afectado y provoque que el servicio LLDP se reinicie. Estas vulnerabilidades se deben a la falta de validación de longitud de ciertos campos de encabezado de paquetes LLDP. Un atacante podría aprovechar estas vulnerabilidades enviando un paquete LLDP malicioso a un dispositivo afectado. Un exploit exitoso podría permitir al atacante ejecutar código en el dispositivo afectado y provocar que LLDP se reinicie inesperadamente, lo que resultaría en una condición de Denegación de Servicio (DoS).

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/01/2024

Vulnerabilidad en Link Layer Discovery Protocol (CVE-2022-20687)

Fecha de publicación:

12/12/2022

Idioma:

Español

Múltiples vulnerabilidades en la funcionalidad del Link Layer Discovery Protocol (LLDP) del firmware del Cisco ATA 190 Series Analog Telephone Adapter podrían permitir que un atacante remoto no autenticado ejecute código arbitrario en un dispositivo afectado y provoque que el servicio LLDP se reinicie. Estas vulnerabilidades se deben a la falta de validación de longitud de ciertos campos de encabezado de paquetes LLDP. Un atacante podría aprovechar estas vulnerabilidades enviando un paquete LLDP malicioso a un dispositivo afectado. Un exploit exitoso podría permitir al atacante ejecutar código en el dispositivo afectado y provocar que LLDP se reinicie inesperadamente, lo que resultaría en una condición de Denegación de Servicio (DoS).

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/01/2024

Vulnerabilidad en Cisco Discovery Protocol (CVE-2022-20688)

Fecha de publicación:

12/12/2022

Idioma:

Español

Una vulnerabilidad en la funcionalidad Cisco Discovery Protocol del firmware del adaptador de teléfono analógico Cisco ATA serie 190 podría permitir que un atacante remoto no autenticado ejecute código arbitrario en un dispositivo afectado y provocar que el servicio Cisco Discovery Protocol se reinicie. Esta vulnerabilidad se debe a la falta de validación de longitud de ciertos campos de encabezado de paquetes de Cisco Discovery Protocol. Un atacante podría aprovechar estas vulnerabilidades enviando un paquete malicioso del Protocolo de descubrimiento de Cisco a un dispositivo afectado. Un exploit exitoso podría permitir al atacante ejecutar código en el dispositivo afectado y provocar que Cisco Discovery Protocol se reinicie inesperadamente, lo que resultaría en una condición DoS.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/01/2024

Vulnerabilidad en Cisco Discovery Protocol (CVE-2022-20689)

Fecha de publicación:

12/12/2022

Idioma:

Español

Múltiples vulnerabilidades en la funcionalidad Cisco Discovery Protocol del firmware del adaptador de teléfono analógico Cisco ATA serie 190 podrían permitir que un atacante adyacente no autenticado cause daños en la memoria del Cisco Discovery Protocol en un dispositivo afectado. Estas vulnerabilidades se deben a que faltan verificaciones de validación de longitud al procesar mensajes del Protocolo de descubrimiento de Cisco. Un atacante podría aprovechar estas vulnerabilidades enviando un paquete malicioso del Protocolo de descubrimiento de Cisco a un dispositivo afectado. Un exploit exitoso podría permitir al atacante provocar una lectura fuera de los límites de los datos del paquete de Cisco Discovery Protocol válido, lo que podría permitirle al atacante causar corrupción en la base de datos interna de Cisco Discovery Protocol del dispositivo afectado.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/01/2024

Vulnerabilidad en Cisco Discovery Protocol (CVE-2022-20690)

Fecha de publicación:

12/12/2022

Idioma:

Español

Gravedad CVSS v3.1: ALTA

Última modificación:

25/01/2024

Vulnerabilidad en IBM API Connect (CVE-2021-38997)

Fecha de publicación:

12/12/2022

Idioma:

Español

IBM API Connect V10.0.0.0 a V10.0.5.0, V10.0.1.0 a V10.0.1.7 y V2018.4.1.0 a 2018.4.1.19 es vulnerable a la inyección de encabezado HTTP, causada por una validación incorrecta de la entrada por los encabezados HOST. Esto podría permitir a un atacante realizar diversos ataques contra el sistema vulnerable, incluido cross-site scripting, envenenamiento de caché o secuestro de sesión. ID de IBM X-Force: 213212.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en RainyGao DocSys (CVE-2022-4416)

Fecha de publicación:

12/12/2022

Idioma:

Español

Se encontró una vulnerabilidad en RainyGao DocSys. Ha sido declarado crítica. Esta vulnerabilidad afecta a la función getReposAllUsers del archivo /DocSystem/Repos/getReposAllUsers.do. La manipulación del argumento searchWord/reposId conduce a la inyección de SQL. El ataque se puede iniciar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-215278 es el identificador asignado a esta vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en SQLite (CVE-2022-46908)

Fecha de publicación:

12/12/2022

Idioma:

Español

SQLite hasta 3.40.0, cuando depende de --safe para la ejecución de un script CLI que no es de confianza, no implementa correctamente el mecanismo de protección azProhibitedFunctions y, en su lugar, permite funciones UDF como WRITEFILE.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/05/2025

Vulnerabilidad en SAP BusinessObjects Business Intelligence Platform (Monitoring DB) (CVE-2022-31596)

Fecha de publicación:

12/12/2022

Idioma:

Español

Bajo ciertas condiciones, un atacante autenticado como administrador de CMS y con altos privilegios de acceso a la red en SAP BusinessObjects Business Intelligence Platform (Monitoring DB) - versión 430, puede acceder a la base de datos de BOE Monitoring para recuperar y modificar datos (no personales) del sistema que de lo contrario estaría restringido. Además, se podría utilizar un ataque potencial para salir del alcance del CMS y afectar la base de datos. Un ataque exitoso podría tener un impacto bajo en la confidencialidad, un impacto alto en la integridad y un impacto bajo en la disponibilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/04/2025

Vulnerabilidad en Bluetooth v1.0B a v5.3 (CVE-2022-25836)

Fecha de publicación:

12/12/2022

Idioma:

Español

El emparejamiento Bluetooth® de baja energía en la especificación principal de Bluetooth v4.0 a v5.3 puede permitir que un MITM no autenticado adquiera credenciales con dos dispositivos de emparejamiento a través de un acceso adyacente cuando el MITM negocia el emparejamiento con clave de acceso heredada con el iniciador de emparejamiento y el emparejamiento con clave de acceso de Secure Connections con el emparejamiento de respondedor y fuerza bruta la clave de acceso ingresada por el usuario en el iniciador. El atacante MITM puede usar el valor de clave de acceso identificado para completar la autenticación con el Respondedor a través de una confusión del método de emparejamiento de Bluetooth.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/04/2025

Vulnerabilidad en Bluetooth v1.0B a v5.3 (CVE-2022-25837)

Fecha de publicación:

12/12/2022

Idioma:

Español

El emparejamiento Bluetooth® en la especificación principal de Bluetooth v1.0B a v5.3 puede permitir que un MITM no autenticado adquiera credenciales con dos dispositivos emparejados a través de un acceso adyacente cuando al menos un dispositivo admite el emparejamiento de conexiones seguras BR/EDR y el otro código PIN heredado BR/EDR. emparejamiento si el MITM negocia el emparejamiento simple seguro BR/EDR en el modo Conexiones seguras usando el modelo de asociación de clave de acceso con el iniciador de emparejamiento y el código PIN heredado BR/EDR emparejamiento con el respondedor de emparejamiento y fuerza bruta la clave de acceso ingresada por el usuario en el respondedor como Código PIN de 6 dígitos. El atacante MITM puede utilizar el valor del código PIN identificado como valor de clave de acceso para completar la autenticación con el iniciador a través de la confusión del método de emparejamiento de Bluetooth.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/04/2025

Vulnerabilidad en Redmine (CVE-2022-44031)

Fecha de publicación:

12/12/2022

Idioma:

Español

Redmine anterior a 4.2.9 y 5.0.x anterior a 5.0.4 permite XSS persistente en su formateador Textil debido a una sanitización inadecuada de la sintaxis de citas en bloque en campos con formato Textil.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/04/2025

Suscribirse a Vulnerabilidades