Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Delta Electronics InfraSuite Device Master (CVE-2022-41779)

Fecha de publicación:

31/10/2022

Idioma:

Español

Delta Electronics InfraSuite Device Master versiones 00.00.01a y anteriores deserializan paquetes de red sin la verificación adecuada. Si el dispositivo se conecta a un servidor controlado por un atacante, éste podría enviar paquetes creados con fines malintencionados que se deserializarían y ejecutarían, lo que provocaría la ejecución remota de código.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/11/2023

Vulnerabilidad en Delta Electronics InfraSuite Device Master (CVE-2022-41776)

Fecha de publicación:

31/10/2022

Idioma:

Español

Delta Electronics InfraSuite Device Master versiones 00.00.01a y anteriores permiten a usuarios no autenticados activar el método WriteConfiguration, lo que podría permitir a un atacante proporcionar nuevos valores para archivos de configuración de usuario como UserListInfo.xml. Esto podría dar lugar al cambio de contraseñas administrativas.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en Delta Electronics InfraSuite Device Master (CVE-2022-41772)

Fecha de publicación:

31/10/2022

Idioma:

Español

Las versiones 00.00.01a y anteriores de Delta Electronics InfraSuite Device Master manejan mal los archivos .ZIP que contienen caracteres utilizados en el Path Traversal. Este Path Traversal podría resultar en la ejecución remota de código.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/11/2023

Vulnerabilidad en Delta Electronics InfraSuite Device Master (CVE-2022-41688)

Fecha de publicación:

31/10/2022

Idioma:

Español

Las versiones 00.00.01a y anteriores de Delta Electronics InfraSuite Device Master carecen de autenticación adecuada para las funciones que crean y modifican grupos de usuarios. Un atacante podría proporcionar objetos serializados maliciosos que podrían ejecutar estas funciones sin autenticación para crear un nuevo usuario y agregarlo al grupo de administradores.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en Delta Electronics InfraSuite Device Master (CVE-2022-41657)

Fecha de publicación:

31/10/2022

Idioma:

Español

Las versiones 00.00.01a y anteriores de Delta Electronics InfraSuite Device Master permiten que los datos proporcionados por el atacante ya serializados en la memoria se utilicen en interfaces programables de aplicaciones (APIs) de operación de archivos. Esto podría crear archivos arbitrarios, que podrían usarse en operaciones API y, en última instancia, podrían resultar en la ejecución remota de código.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/11/2023

Vulnerabilidad en Tenable (CVE-2022-3499)

Fecha de publicación:

31/10/2022

Idioma:

Español

Un atacante autenticado podría utilizar claves de enlace de nodo de cluster y agente idénticas para permitir potencialmente un escenario en el que esté presente la divulgación no autorizada de registros y datos del agente.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/05/2025

Vulnerabilidad en Zoom Client (CVE-2022-28763)

Fecha de publicación:

31/10/2022

Idioma:

Español

El Zoom Client para Meetings (para Android, iOS, Linux, macOS y Windows) anterior a la versión 5.12.2 es susceptible a una vulnerabilidad de análisis de URL. Si se abre la URL de una reunión de Zoom maliciosa, el enlace malicioso puede dirigir al usuario a conectarse a una dirección de red arbitraria, lo que genera ataques adicionales, incluida la apropiación de sesiones.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

01/11/2022

Vulnerabilidad en Delta Electronics InfraSuite Device Master (CVE-2022-38142)

Fecha de publicación:

31/10/2022

Idioma:

Español

Delta Electronics InfraSuite Device Master versiones 00.00.01a y anteriores deserializan los datos proporcionados por el usuario a través del puerto de servicio Device-Gateway sin la verificación adecuada. Un atacante podría proporcionar objetos serializados maliciosos para ejecutar código arbitrario tras la deserialización.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/11/2023

Vulnerabilidad en Delta Electronics InfraSuite Device Master (CVE-2022-40202)

Fecha de publicación:

31/10/2022

Idioma:

Español

La función de copia de seguridad de la base de datos en Delta Electronics InfraSuite Device Master versiones 00.00.01a y anteriores carece de autenticación adecuada. Un atacante podría proporcionar objetos serializados maliciosos que, cuando se deserialicen, podrían activar un código de operación para una función de programación de copias de seguridad sin autenticación. Esta función permite al usuario designar todos los argumentos de la función y el archivo que se ejecutará. Esto podría permitir al atacante iniciar cualquier proceso nuevo y lograr la ejecución remota de código.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/11/2023

Vulnerabilidad en FlexiCompact (CVE-2022-27583)

Fecha de publicación:

31/10/2022

Idioma:

Español

Un atacante remoto sin privilegios puede interactuar con la interfaz de configuración de un Flexi-Compact FLX3-CPUC1 o FLX3-CPUC2 que ejecuta una versión de firmware afectada para afectar potencialmente la disponibilidad del FlexiCompact.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/05/2025

Vulnerabilidad en Spring Security (CVE-2022-31690)

Fecha de publicación:

31/10/2022

Idioma:

Español

Spring Security, las versiones 5.7 anteriores a 5.7.5 y 5.6 anteriores a 5.6.9 y las versiones anteriores no compatibles podrían ser susceptibles a una escalada de privilegios bajo ciertas condiciones. Un usuario malicioso o un atacante puede modificar una solicitud iniciada por el Cliente (a través del navegador) al Servidor de Autorización, lo que puede provocar una escalada de privilegios en la aprobación posterior. Este escenario puede ocurrir si el Servidor de Autorización con OAuth2 Access Token Response que contiene una lista de alcance vacía (según RFC 6749, sección 5.1) en la solicitud posterior al extremo del token para obtener el token de acceso.

Gravedad CVSS v3.1: ALTA

Última modificación:

08/05/2025

Vulnerabilidad en Spring Security (CVE-2022-31692)

Fecha de publicación:

31/10/2022

Idioma:

Español

Spring Security, las versiones 5.7 anteriores a 5.7.5 y 5.6 anteriores a 5.6.9 podrían ser susceptibles a que las reglas de autorización se omitan mediante reenvío o incluyan tipos de despachadores. Específicamente, una aplicación es vulnerable cuando se cumple todo lo siguiente: La aplicación espera que Spring Security aplique seguridad para reenviar e incluir tipos de despachadores. La aplicación utiliza AuthorizationFilter manualmente o mediante el método AuthorizeHttpRequests(). La aplicación configura FilterChainProxy para aplicarlo a solicitudes de reenvío y/o inclusión (e.g. spring.security.filter.dispatcher-types = request, error, async, forward, include). La aplicación puede reenviar o incluir la solicitud a endpoint con privilegios más altos. La aplicación configura Spring Security para aplicar a cada tipo de despachador a través de AuthorizeHttpRequests().shouldFilterAllDispatcherTypes(true)

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

06/05/2025

Suscribirse a Vulnerabilidades