Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Jenkins XebiaLabs XL Deploy Plugin (CVE-2021-21662)

Fecha de publicación:
10/06/2021
Idioma:
Español
Una comprobación de permisos faltante en Jenkins XebiaLabs XL Deploy Plugin versión 10.0.1 y anteriores, permite a atacantes con permiso Overall/Read enumerar el ID de las credenciales almacenadas en Jenkins
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/10/2023

Vulnerabilidad en una URL en Jenkins XebiaLabs XL Deploy Plugin (CVE-2021-21663)

Fecha de publicación:
10/06/2021
Idioma:
Español
Una comprobación de permiso faltante en Jenkins XebiaLabs XL Deploy Plugin versión 7.5.8 y anteriores, permite a atacantes con permiso de Overall/Read conectarse a una URL especificada por el atacante usando IDs de credenciales especificadas por el atacante obtenidas mediante otro método, capturando credenciales de nombre de usuario/contraseña almacenadas en Jenkins
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/10/2023

Vulnerabilidad en endpoints HTTP en Jenkins Kubernetes CLI Plugin (CVE-2021-21661)

Fecha de publicación:
10/06/2021
Idioma:
Español
Jenkins Kubernetes CLI Plugin versión 1.10.0 y anteriores no lleva a cabo comprobaciones de permisos en varios endpoints HTTP, permitiendo a atacantes con permiso Overall/Read enumerar los ID de las credenciales almacenadas en Jenkins
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/10/2023

Vulnerabilidad en las campañas y la configuración de fidelidad en Annex Cloud Loyalty Experience Platform (CVE-2021-31929)

Fecha de publicación:
10/06/2021
Idioma:
Español
Annex Cloud Loyalty Experience Platform versiones anteriores a 2021.1.0.1 permite a cualquier atacante autenticado modificar las campañas y la configuración de fidelidad, como la prevención del fraude, los grupos de cupones, las plantillas de correo electrónico o las referencias
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/06/2021

Vulnerabilidad en un archivo terraform en Bridgecrew Checkov de Prisma Cloud (CVE-2021-3040)

Fecha de publicación:
10/06/2021
Idioma:
Español
Una vulnerabilidad de deserialización insegura en Bridgecrew Checkov de Prisma Cloud permite la ejecución de código arbitrario al procesar un archivo terraform malicioso. Este problema afecta a las versiones de Checkov 2.0 anteriores a Checkov 2.0.139. Las versiones de Checkov 1.0 no se ven afectadas
Gravedad CVSS v3.1: ALTA
Última modificación:
21/06/2021

Vulnerabilidad en el directorio root en Palo Alto Networks Cortex XDR agent (CVE-2021-3041)

Fecha de publicación:
10/06/2021
Idioma:
Español
Se presenta una vulnerabilidad de escalada de privilegios local en el agente Palo Alto Networks Cortex XDR agent en plataformas Windows que permite a un usuario local de Windows autenticado ejecutar programas con privilegios SYSTEM. Esto requiere que el usuario tenga el privilegio de crear archivos en el directorio root de Windows o de manipular valores clave del registro. Este problema afecta: Cortex XDR agent versiones 5.0 versiones anteriores a Cortex XDR agent 5.0.11; Cortex XDR agent versiones 6.1 versiones anteriores a Cortex XDR agent 6.1.8; Cortex XDR agent versiones 7.2 versiones anteriores a Cortex XDR agent 7.2.3; Todas las versiones de Cortex XDR agent 7.2 sin la versión de actualización de contenidos 171 o una versión posterior
Gravedad CVSS v3.1: ALTA
Última modificación:
23/06/2021

Vulnerabilidad en un archivo de registro de depuración en la consola de computación en Palo Alto Networks Prisma Cloud (CVE-2021-3039)

Fecha de publicación:
10/06/2021
Idioma:
Español
Se presenta una vulnerabilidad de exposición de información mediante un archivo de registro en la consola de computación en Palo Alto Networks Prisma Cloud, donde un secreto utilizado para autorizar el rol del usuario autenticado se registra en un archivo de registro de depuración. Los usuarios autenticados con el rol de Operador y Auditor con acceso a los archivos de registro de depuración pueden usar este secreto para conseguir acceso al rol de Administrador para su sesión activa en Prisma Cloud Compute. Las versiones de Prisma Cloud Compute SaaS se actualizaron automáticamente a la versión corregida. Este problema afecta a todas las versiones de Prisma Cloud Compute anteriores a Prisma Cloud Compute 21.04.412
Gravedad CVSS v3.1: BAJA
Última modificación:
25/06/2021

Vulnerabilidad en "expand-hash" (CVE-2021-25948)

Fecha de publicación:
10/06/2021
Idioma:
Español
La vulnerabilidad de contaminación de prototipos en las versiones 0.1.0 a 1.0.1 de 'expand-hash' permite a un atacante provocar una denegación de servicio y puede llevar a la ejecución remota de código
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/06/2022

Vulnerabilidad en "set-getter" (CVE-2021-25949)

Fecha de publicación:
10/06/2021
Idioma:
Español
La vulnerabilidad de contaminación de prototipos en la versión 0.1.0 de 'set-getter' permite a un atacante causar una denegación de servicio y puede llevar a la ejecución remota de código
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/06/2022

Vulnerabilidad en los usuarios postorius o postorius-admin en python-postorius de openSUSE Leap (CVE-2021-31997)

Fecha de publicación:
10/06/2021
Idioma:
Español
Una vulnerabilidad de enlace simbólico de UNIX (Symlink) en python-postorius de openSUSE Leap 15.2, Factory permite a los atacantes locales escalar desde los usuarios postorius o postorius-admin a root. Este problema afecta a: openSUSE Leap 15.2 python-postorius versión 1.3.2-lp152.1.2 y versiones anteriores. openSUSE Factory python-postorius versión 1.3.4-2.1 y versiones anteriores
Gravedad CVSS v3.1: ALTA
Última modificación:
14/10/2022

Vulnerabilidad en el usuario hyperkitty o hyperkitty-admin en python-HyperKitty de openSUSE Leap (CVE-2021-25322)

Fecha de publicación:
10/06/2021
Idioma:
Español
Una vulnerabilidad de seguimiento de enlaces simbólicos UNIX (Symlink) en python-HyperKitty de openSUSE Leap 15.2, Factory permite a atacantes locales escalar privilegios del usuario hyperkitty o hyperkitty-admin a root. Este problema afecta a: openSUSE Leap 15.2 python-HyperKitty versión 1.3.2-lp152.2.3.1 y versiones anteriores. openSUSE Factory python-HyperKitty versiones anteriores a 1.3.4-5.1
Gravedad CVSS v3.1: ALTA
Última modificación:
22/06/2023

Vulnerabilidad en un producto de ZTE (CVE-2021-21735)

Fecha de publicación:
10/06/2021
Idioma:
Español
Un producto de ZTE tiene una vulnerabilidad de filtrado de información. Debido a una configuración inapropiada de los permisos, un atacante con permisos de usuario ordinarios podría explotar esta vulnerabilidad para obtener alguna información sensible del usuario mediante la página del asistente sin autenticación. Esto afecta al producto ZXHN H168N en todas las versiones hasta la V3.5.0_EG1T4_TE
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2021