Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el archivo cmd_subsys.php en Nagios Fusion (CVE-2020-28902)
Fecha de publicación:
24/05/2021
Idioma:
Español
Una Inyección de Comandos en Nagios Fusion versiones 4.1.8 y anteriores, permite la escalada de privilegios de apache a root en el archivo cmd_subsys.php
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/05/2021

Vulnerabilidad en el archivo cmd_subsys.php en Nagios Fusion (CVE-2020-28901)
Fecha de publicación:
24/05/2021
Idioma:
Español
Una Inyección de Comandos en Nagios Fusion versiones 4.1.8 y anteriores, permite la Escalada de Privilegios o una Ejecución de Código como root por medio de vectores relacionados con la instalación de componentes corruptos en el archivo cmd_subsys.php
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/05/2021

Vulnerabilidad en upgrade_to_latest.sh en Nagios Fusion y Nagios XI (CVE-2020-28900)
Fecha de publicación:
24/05/2021
Idioma:
Español
Una Comprobación Insuficiente de la Autenticidad de los Datos en Nagios Fusion versiones 4.1.8 y anteriores y Nagios XI versiones 5.7.5 y anteriores, permite la ampliación de privilegios o una ejecución de código como root por medio de vectores relacionados con un paquete de actualización que no es confiable para upgrade_to_latest.sh
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/05/2021

Vulnerabilidad en la paginación de tabla en Nagios Fusion (CVE-2020-28905)
Fecha de publicación:
24/05/2021
Idioma:
Español
Una Comprobación Inapropiada de la Entrada en Nagios Fusion versiones 4.1.8 y anteriores, permite a un atacante autenticado ejecutar código remoto por medio de una paginación de tabla
Gravedad CVSS v3.1: ALTA
Última modificación:
12/07/2022

Vulnerabilidad en el componente Cortado ThinPrint (TTC Parser) en VMware Workstation y Horizon Client para Windows (CVE-2021-21989)
Fecha de publicación:
24/05/2021
Idioma:
Español
VMware Workstation (versiones 16.x anteriores a 16.1.2) y Horizon Client para Windows (versiones 5.x anteriores a 5.5.2) contienen una vulnerabilidad de lectura fuera de límites en el componente Cortado ThinPrint (TTC Parser). Un actor malicioso con acceso a una máquina virtual o un escritorio remoto puede ser capaz de explotar estos problemas conllevando a una divulgación de información del proceso TPView que se ejecuta en el sistema donde está instalado Workstation o Horizon Client para Windows
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/06/2021

Vulnerabilidad en el componente Cortado ThinPrint (TTC Parser) en VMware Workstation y Horizon Client para Windows (CVE-2021-21987)
Fecha de publicación:
24/05/2021
Idioma:
Español
VMware Workstation (16.x versiones anteriores a 16.1.2) y Horizon Client para Windows (5.x versiones anteriores a 5.5.2) contienen una vulnerabilidad de lectura fuera de límites en el componente Cortado ThinPrint (TTC Parser). Un actor malicioso con acceso a una máquina virtual o escritorio remoto puede explotar estos problemas que conllevan a la divulgación de información del proceso TPView que se ejecuta en el sistema donde está instalado Workstation o Horizon Client para Windows
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/06/2021

Vulnerabilidad en el componente Cortado ThinPrint (JPEG2000 Parser) en VMware Workstation y Horizon Client para Windows (CVE-2021-21988)
Fecha de publicación:
24/05/2021
Idioma:
Español
VMware Workstation (versiones 16.x anteriores a 16.1.2) y Horizon Client para Windows (versiones 5.x anteriores a 5.5.2) contienen una vulnerabilidad de lectura fuera de límites en el componente Cortado ThinPrint (JPEG2000 Parser). Un actor malicioso con acceso a una máquina virtual o escritorio remoto puede explotar estos problemas que conllevan a una divulgación de información del proceso TPView que se ejecuta en el sistema donde está instalado Workstation o Horizon Client para Windows
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/06/2021

Vulnerabilidad en libvirt en la API virConnectListAllNodeDevices (CVE-2021-3559)
Fecha de publicación:
24/05/2021
Idioma:
Español
Se encontró un fallo en libvirt en la API virConnectListAllNodeDevices en versiones anteriores a 7.0.0. Solo afecta a los hosts con un dispositivo PCI y un controlador que admita dispositivos mediados (por ejemplo, el controlador GRID). Este fallo podría ser usado por un cliente no privilegiado con una conexión de solo lectura para bloquear el demonio libvirt al ejecutar el comando virsh "nodedev-list". La mayor amenaza de esta vulnerabilidad es la disponibilidad del sistema
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/04/2022

Vulnerabilidad en el campo "State" de la página Edit profile del LMS de LifterLMS - Online Course, Membership & Learning Management System Plugin para el plugin de WordPress (CVE-2021-24308)
Fecha de publicación:
24/05/2021
Idioma:
Español
El campo "State" de la página Edit profile del LMS de LifterLMS - Online Course, Membership & Learning Management System Plugin para el plugin de WordPress versiones anteriores a 4.21.1 no es saneado apropiadamente cuando se muestra en la sección About de la página de perfil, conllevando a un problema de tipo cross-site scripting almacenado. Esto podría permitir a usuarios pocos privilegiados (como los estudiantes) escalar sus privilegios por medio de un ataque de tipo XSS cuando un administrador visualiza su perfil
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/06/2021

Vulnerabilidad en archivos zip en ArangoDB (CVE-2021-25938)
Fecha de publicación:
24/05/2021
Idioma:
Español
En ArangoDB, versiones v2.2.6.2 hasta v3.7.10, son vulnerables a un ataque de tipo Cross-Site Scripting (XSS), ya que no se presenta una comprobación del nombre del archivo .zip y filtrado de posibles caracteres abusivos que los archivos zip puede nombrar. No existe un ajuste de encabezados X-Frame-Options, lo que lo hace más susceptible para aprovechar un ataque de tipo auto-XSS por parte de atacantes
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/05/2021

Vulnerabilidad en la acción dsgvoaio_write_log AJAX del All in one de DSGVO para el plugin WP WordPress (CVE-2021-24294)
Fecha de publicación:
24/05/2021
Idioma:
Español
La acción dsgvoaio_write_log AJAX del All in one de DSGVO para el plugin WP WordPress versiones anteriores a 4.0 no saneaba o escapaba de algún parámetro POST enviado antes de mostrarlos en la página de registro en el panel del administrador (wp-admin/admin.php?page=dsgvoaiofree-show-log). Esto podría permitir que atacantes no autenticados obtengan acceso no autorizado mediante el uso de una carga útil XSS para crear una cuenta de administrador no autorizada, que se desencadenará cuando un administrador visualice los registros
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/05/2021

Vulnerabilidad en el plugin de WordPress WP Customer Reviews (CVE-2021-24296)
Fecha de publicación:
24/05/2021
Idioma:
Español
El plugin de WordPress WP Customer Reviews versiones anteriores a 3.5.6 no saneaba algunas de sus configuraciones, lo que permitía a usuarios muy privilegiados, como los administradores, configurar cargas útiles XSS en ellos, que luego se desencadenarán en las páginas donde las revisiones están habilitadas
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/05/2021
Suscribirse a Vulnerabilidades