Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Octopus Server (CVE-2022-2782)

Fecha de publicación:
27/10/2022
Idioma:
Español
En las versiones afectadas de Octopus Server, es posible que un token de sesión sea válido indefinidamente debido a una validación incorrecta de los parámetros del token de sesión.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/05/2025

Vulnerabilidad en shescape (CVE-2022-25918)

Fecha de publicación:
27/10/2022
Idioma:
Español
El paquete shescape de 1.5.10 y anteriores a 1.6.1 es vulnerable a la Denegación de Servicio de Expresión Regular (ReDoS) a través de la función de escape en index.js, debido al uso de expresiones regulares inseguras en la función escapeArgBash.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/05/2025

Vulnerabilidad en el repositorio de GitHub ikus060/rdiffweb (CVE-2022-3363)

Fecha de publicación:
26/10/2022
Idioma:
Español
Unos Errores de Lógica de Negocio en el repositorio de GitHub ikus060/rdiffweb versiones anteriores a 2.5.0a7
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/05/2025

Vulnerabilidad en la aplicación AliveCor Kardia en Android (CVE-2022-40703)

Fecha de publicación:
26/10/2022
Idioma:
Español
CWE-302 Una Omisión de la Autenticación mediante Datos Supuestamente Inmutables en la aplicación AliveCor Kardia versiones 5.17.1-754993421 y anteriores en Android permite a un atacante no autenticado con acceso físico al dispositivo Android que contiene la aplicación omitir la autenticación de la aplicación y alterar la información en la misma
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en el archivo actionpack/lib/action_dispatch/middleware/templates/routes/_table.html.erb en Ruby on Rails (CVE-2022-3704)

Fecha de publicación:
26/10/2022
Idioma:
Español
Se ha encontrado una vulnerabilidad clasificada como problemática en Ruby on Rails. Afecta a una parte desconocida del archivo actionpack/lib/action_dispatch/middleware/templates/routes/_table.html.erb. La manipulación conlleva a un ataque de tipo cross site scripting. Es posible iniciar el ataque de forma remota. El nombre del parche es be177e4566747b73ff63fd5f529fab564e475ed4. Es recomendado aplicar el parche para corregir este problema. El identificador asociado a esta vulnerabilidad es VDB-212319
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/08/2024

Vulnerabilidad en el archivo quickfix.c en la función qf_update_buffer del componente autocmd Handler en vim (CVE-2022-3705)

Fecha de publicación:
26/10/2022
Idioma:
Español
Se ha encontrado una vulnerabilidad en vim y ha sido clasificada como problemática. El problema afecta a la función qf_update_buffer del archivo quickfix.c del componente autocmd Handler. La manipulación conlleva a un uso de memoria previamente liberada. El ataque puede ser lanzado remotamente. La actualización a versión 9.0.0805 puede abordar este problema. El nombre del parche es d0fab10ed2a86698937e3c3fed2f10bd9bb5e731. Es recomendado actualizar el componente afectado. El identificador de esta vulnerabilidad es VDB-212324
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en Discourse Patreon (CVE-2022-39355)

Fecha de publicación:
26/10/2022
Idioma:
Español
Discourse Patreon permite la sincronización entre los grupos de Discourse y las recompensas de Patreon. En los sitios con el inicio de sesión de Patreon habilitado, una vulnerabilidad de autenticación inapropiada podría usarse para tomar el control de la cuenta del foro de la víctima. Esta vulnerabilidad está parcheada en el commit número 846d0121514b35ce42a1636c7d70f6dcee879e del plugin discourse-patreon. Por precaución, cualquier cuenta de Discourse que haya iniciado sesión con una cuenta de Patreon con correo electrónico no verificado será cerrada y le pedirá que verifique su dirección de correo electrónico en su próximo inicio de sesión. Como mitigación, deshabilite la integración de Patreon y cierre la sesión de todos los usuarios con cuentas de Patreon asociadas
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/10/2022

Vulnerabilidad en Jupyter Core (CVE-2022-39286)

Fecha de publicación:
26/10/2022
Idioma:
Español
Jupyter Core es un paquete para la funcionalidad común del núcleo de los proyectos Jupyter. Jupyter Core versiones anteriores a 4.11.2, contiene una vulnerabilidad de ejecución de código arbitrario en "jupyter_core" que proviene de que "jupyter_core" ejecuta archivos no confiables en CWD. Esta vulnerabilidad permite a un usuario ejecutar código como otro. La versión 4.11.2 contiene un parche para este problema. No se presentan mitigaciones conocidas
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en Twisted (CVE-2022-39348)

Fecha de publicación:
26/10/2022
Idioma:
Español
Twisted es un framework basado en eventos para aplicaciones de Internet. Comenzó con la versión 0.9.4, cuando el encabezado del host no coincide con un host configurado "twisted.web.vhost.NameVirtualHost" devolverá un recurso "NoResource" que hace que el encabezado del Host no sea escondido en la respuesta 404 permitiendo la inyección de HTML y scripts. En la práctica esto debería ser muy difícil de explotar ya que ser capaz de modificar el encabezado Host de una petición HTTP normal implica que uno ya está en una posición privilegiada. Este problema ha sido corregido en versión 22.10.0rc1. No se presenta mitigaciones conocidas
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2025

Vulnerabilidad en el parámetro wizardstep54_pskpwd en /goform/form2WizardStep54 en D-Link DIR-816 A2 (CVE-2022-43002)

Fecha de publicación:
26/10/2022
Idioma:
Español
Se ha detectado que D-Link DIR-816 A2 versión 1.10 B05, contenía un desbordamiento de pila por medio del parámetro wizardstep54_pskpwd en /goform/form2WizardStep54
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/05/2025

Vulnerabilidad en el parámetro pskValue en la función setRepeaterSecurity en D-Link DIR-816 A2 (CVE-2022-43003)

Fecha de publicación:
26/10/2022
Idioma:
Español
Se ha detectado que D-Link DIR-816 A2 versión 1.10 B05, contiene un desbordamiento de pila por medio del parámetro pskValue en la función setRepeaterSecurity
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/05/2025

Vulnerabilidad en el parámetro wizardstep4_pskpwd en /goform/form2WizardStep4 en D-Link DIR-816 A2 (CVE-2022-43000)

Fecha de publicación:
26/10/2022
Idioma:
Español
Se ha detectado que D-Link DIR-816 A2 versión 1.10 B05, contiene un desbordamiento de pila por medio del parámetro wizardstep4_pskpwd en /goform/form2WizardStep4
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/05/2025