Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en go-cvss (CVE-2022-39213)

Fecha de publicación:

15/09/2022

Idioma:

Español

go-cvss es un módulo Go para manipular el Sistema de Puntuación de Vulnerabilidad Común (CVSS). En las versiones afectadas, cuando es analizada una cadena de vectores CVSS versión v2.0 completa mediante "ParseVector", es posible que sea producida una lectura fuera de los límites debido a una falta de pruebas. El módulo Go entrará en pánico. El problema está parcheado en la etiqueta "v0.4.0", mediante el commit "d9d478ff0c13b8b09ace030db9262f3c2fe031f4". Es recomendado a usuarios actualizar. Los usuarios que no puedan actualizar pueden evitar este problema al analizar sólo las cadenas de vectores CVSS versión v2.0 que no tengan todos los atributos definidos (por ejemplo, "AV:N/AC:L/Au:N/C:P/I:P/A:C/E:U/RL:OF/RC:C/CDP:MH/TD:H/CR:M/IR:M/AR:M"). Como es indicado en [SECURITY.md](https://github.com/pandatix/go-cvss/blob/master/SECURITY.md), el CPE versión v2.3 para referirse a este módulo Go es "cpe:2.3:a:pandatix:go_cvss:*:*:*:*:*". La entrada ya ha sido solicitada al diccionario CPE de NVD

Gravedad CVSS v3.1: ALTA

Última modificación:

18/08/2023

Vulnerabilidad en la función Catalog::countPageTree() en el archivo Catalog.cc en XPDF (CVE-2022-38334)

Fecha de publicación:

15/09/2022

Idioma:

Español

Se ha descubierto que XPDF v4.04 y anteriores contienen un desbordamiento de pila a través de la función Catalog::countPageTree() en Catalog.cc

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/01/2023

Vulnerabilidad en una carga útil en el campo de texto sncfg_loid en el componente auth_settings de FiberHome AN5506-02-B (CVE-2022-38814)

Fecha de publicación:

15/09/2022

Idioma:

Español

Una vulnerabilidad de tipo cross-site scripting (XSS) almacenado en el componente auth_settings de FiberHome AN5506-02-B versión vRP2521, permite a atacantes ejecutar scripts web o HTML arbitrarios por medio de una carga útil diseñada inyectada en el campo de texto sncfg_loid

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/09/2022

Vulnerabilidad en el parámetro de página en /goform/NatStaticSetting en los routers WiFi Tenda AC15 y AC18 (CVE-2022-38326)

Fecha de publicación:

15/09/2022

Idioma:

Español

Se ha detectado que los routers WiFi Tenda AC15 V15.03.05.19_multi y AC18 V15.03.05.19_multi, contienen un desbordamiento de búfer por medio del parámetro de página en /goform/NatStaticSetting

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

19/09/2022

Vulnerabilidad en el parámetro filePath en /goform/expandDlnaFile en los routers WiFi Tenda AC15 y AC18 (CVE-2022-38325)

Fecha de publicación:

15/09/2022

Idioma:

Español

Se ha detectado que los routers WiFi Tenda AC15 versión V15.03.05.19_multi y AC18 versión V15.03.05.19_multi, contienen un desbordamiento de búfer por medio del parámetro filePath en /goform/expandDlnaFile

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

19/09/2022

Vulnerabilidad en la variable input en el archivo main.js en stealjs (CVE-2022-37260)

Fecha de publicación:

15/09/2022

Idioma:

Español

Se ha encontrado un fallo de Denegación de Servicio por Expresión Regular (ReDoS) en stealjs 2.2.4 por medio de la variable input en el archivo main.js

Gravedad CVSS v3.1: ALTA

Última modificación:

08/08/2023

Vulnerabilidad en la función setdiagnosicfg en TOTOLINK-720R (CVE-2022-38534)

Fecha de publicación:

15/09/2022

Idioma:

Español

Se ha detectado que TOTOLINK-720R versión v4.1.5cu.374, contiene una vulnerabilidad de ejecución de código remota (RCE) por medio de la función setdiagnosicfg

Gravedad CVSS v3.1: ALTA

Última modificación:

08/08/2023

Vulnerabilidad en la función setTracerouteCfg en TOTOLINK-720R (CVE-2022-38535)

Fecha de publicación:

15/09/2022

Idioma:

Español

Se ha detectado que TOTOLINK-720R versión v4.1.5cu.374, contiene una vulnerabilidad de ejecución de código remota (RCE) por medio de la función setTracerouteCfg

Gravedad CVSS v3.1: ALTA

Última modificación:

08/08/2023

Vulnerabilidad en cmark-gfm (CVE-2022-39209)

Fecha de publicación:

15/09/2022

Idioma:

Español

cmark-gfm es la bifurcación de GitHub de cmark, una biblioteca de análisis y renderización de CommonMark y un programa en C. En versiones anteriores a 0.29.0.gfm.6, un problema de complejidad de tiempo polinómico en la extensión de autolink de cmark-gfm puede conllevar a un agotamiento de recursos sin límites y la consiguiente denegación de servicio. Los usuarios pueden verificar el parche al ejecutar "python3 -c "print("![l "* 100000 + "\n")&#39; | ./cmark-gfm -e autolink", que agotará los recursos en cmark-gfm sin parchear, pero será mostrado correctamente en cmark-gfm parcheado. Esta vulnerabilidad ha sido parcheada en versión 0.29.0.gfm.6. Es recomendado a usuarios actualizar. Los usuarios que no puedan actualizares deberán deshabilitar el uso de la extensión autolink

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en el análisis de los archivos ND2 en NIKON NIS-Elements Viewer (CVE-2022-40655)

Fecha de publicación:

15/09/2022

Idioma:

Español

Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de NIKON NIS-Elements Viewer versión 1.2100.1483.0. Es requerida una interacción del usuario para explotar esta vulnerabilidad, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. El fallo específico se presenta en el análisis de los archivos ND2. El problema es debido a que no es comprobada apropiadamente la longitud de los datos suministrados por el usuario antes de copiarlos en un búfer en la región heap de la memoria. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Era ZDI-CAN-15071

Gravedad CVSS v3.1: ALTA

Última modificación:

07/01/2025

Vulnerabilidad en el análisis de las imágenes TIF en NIKON NIS-Elements Viewer (CVE-2022-40662)

Fecha de publicación:

15/09/2022

Idioma:

Español

Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de NIKON NIS-Elements Viewer versión 1.2100.1483.0. Es requerida una interacción del usuario para explotar esta vulnerabilidad, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. El fallo específico se presenta en el análisis de las imágenes TIF. Los datos diseñados en una imagen TIF pueden desencadenar una lectura más allá del final de un búfer asignado. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Era ZDI-CAN-15351

Gravedad CVSS v3.1: ALTA

Última modificación:

10/04/2025

Vulnerabilidad en el análisis de las imágenes PSD en NIKON NIS-Elements Viewer (CVE-2022-40660)

Fecha de publicación:

15/09/2022

Idioma:

Español

Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de NIKON NIS-Elements Viewer versión 1.2100.1483.0. Es requerida una interacción del usuario para explotar esta vulnerabilidad, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. El fallo específico se presenta en el análisis de las imágenes PSD. El problema es debido a que no es comprobada apropiadamente la longitud de los datos suministrados por el usuario antes de copiarlos en un búfer en la región heap de la memoria. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Era ZDI-CAN-15135

Gravedad CVSS v3.1: ALTA

Última modificación:

11/04/2025

Suscribirse a Vulnerabilidades