Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Parallels Remote Application Server v18.0 (CVE-2022-40870)

Fecha de publicación:
23/11/2022
Idioma:
Español
El cliente web de Parallels Remote Application Server v18.0 es vulnerable a ataques de inyección de encabezado de host. Esta vulnerabilidad permite a los atacantes ejecutar comandos arbitrarios a través de un payload manipulado inyectado en el encabezado del Host.
Gravedad CVSS v3.1: ALTA
Última modificación:
29/04/2025

Vulnerabilidad en McAfee Total Protection (CVE-2022-43751)

Fecha de publicación:
23/11/2022
Idioma:
Español
McAfee Total Protection anterior a la versión 16.0.49 contiene una vulnerabilidad de elemento de ruta de búsqueda no controlada debido al uso de una variable que apunta a un subdirectorio que puede ser controlado por un usuario sin privilegios. Esto puede haber permitido al usuario sin privilegios ejecutar código arbitrario con permisos del system.
Gravedad CVSS v3.1: ALTA
Última modificación:
29/04/2025

Vulnerabilidad en Maarch RM 2.8.3 (CVE-2022-37774)

Fecha de publicación:
23/11/2022
Idioma:
Español
Existe una vulnerabilidad de control de acceso rota en la solución Maarch RM 2.8.3. Al acceder a algún documento específico (pdf, correo electrónico) desde un archivo, la aplicación propone una vista previa. Esta vista previa genera una URL que incluye un hash md5 del archivo al que se accede. Luego se puede acceder a la URL del documento (https://{url}/tmp/{MD5 hash of the document}) sin autenticación.
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/04/2025

Vulnerabilidad en Maarch RM 2.8 (CVE-2022-37773)

Fecha de publicación:
23/11/2022
Idioma:
Español
Una vulnerabilidad de inyección SQL autenticada en la página de estadísticas (/statistics/retrieve) de Maarch RM 2.8, a través del parámetro de filtro, permite la divulgación completa de todas las bases de datos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/04/2025

Vulnerabilidad en Silverstripe (CVE-2022-38724)

Fecha de publicación:
23/11/2022
Idioma:
Español
Silverstripe silverstripe/framework hasta 4.11.0, silverstripe/assets hasta 1.11.0 y silverstripe/asset-admin hasta 1.11.0 permiten XSS.
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/04/2025

Vulnerabilidad en AeroCMS v0.0.1 (CVE-2022-45529)

Fecha de publicación:
22/11/2022
Idioma:
Español
Se descubrió que AeroCMS v0.0.1 contiene una vulnerabilidad de inyección SQL a través del parámetro post_category_id en \admin\includes\edit_post.php. Esta vulnerabilidad permite a los atacantes acceder a la información de la base de datos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/04/2025

Vulnerabilidad en AeroCMS v0.0.1 (CVE-2022-45535)

Fecha de publicación:
22/11/2022
Idioma:
Español
Se descubrió que AeroCMS v0.0.1 contiene una vulnerabilidad de inyección SQL a través del parámetro de edición en \admin\categories.php. Esta vulnerabilidad permite a los atacantes acceder a la información de la base de datos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/04/2025

Vulnerabilidad en AeroCMS v0.0.1 (CVE-2022-45536)

Fecha de publicación:
22/11/2022
Idioma:
Español
Se descubrió que AeroCMS v0.0.1 contiene una vulnerabilidad de inyección SQL a través del parámetro id en \admin\post_comments.php. Esta vulnerabilidad permite a los atacantes acceder a la información de la base de datos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/04/2025

Vulnerabilidad en AeroCMS v0.0.1 (CVE-2022-45330)

Fecha de publicación:
22/11/2022
Idioma:
Español
Se descubrió que AeroCMS v0.0.1 contiene una vulnerabilidad de inyección SQL a través del parámetro Categoría en \category.php. Esta vulnerabilidad permite a los atacantes acceder a la información de la base de datos.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/04/2025

Vulnerabilidad en AeroCMS v0.0.1 (CVE-2022-45331)

Fecha de publicación:
22/11/2022
Idioma:
Español
Se descubrió que AeroCMS v0.0.1 contiene una vulnerabilidad de inyección SQL a través del parámetro p_id en \post.php. Esta vulnerabilidad permite a los atacantes acceder a la información de la base de datos.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/04/2025

Vulnerabilidad en aliyun-oss-client (CVE-2022-39397)

Fecha de publicación:
22/11/2022
Idioma:
Español
aliyun-oss-client es un cliente rust para Alibaba Cloud OSS. Los usuarios de esta librería se verán afectados y el secreto entrante se revelará sin querer. Este problema se solucionó en la versión 0.8.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/07/2023

Vulnerabilidad en immudb (CVE-2022-39199)

Fecha de publicación:
22/11/2022
Idioma:
Español
immudb es una base de datos con prueba y verificación criptográfica incorporada. Los SDK del cliente immudb utilizan el UUID del servidor para distinguir entre diferentes instancias de servidor, de modo que el cliente pueda conectarse a diferentes instancias de immudb y mantener el estado para múltiples servidores. El SDK no valida este uuid y puede aceptar cualquier valor informado por el servidor. Un servidor malicioso puede cambiar el UUID informado engañando al cliente para que lo trate como un servidor diferente, aceptando así un estado completamente irrelevante al que se recuperó previamente del servidor. Este problema se solucionó en la versión 1.4.1. Como workaround, al inicializar un objeto de cliente immudb se puede utilizar un controlador de estado personalizado para almacenar el estado. Se puede utilizar una implementación personalizada que ignore el UUID del servidor para garantizar que incluso si el servidor cambia el UUID, el cliente seguirá considerando que es el mismo servidor.
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/11/2022