Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2023-22429

Fecha de publicación:

11/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** Android App &#39;Wolt Delivery: Food and more&#39; version 4.27.2 and earlier uses hard-coded credentials (API key for an external service), which may allow a local attacker to obtain the hard-coded API key via reverse-engineering the application binary.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/02/2025

CVE-2023-22282

Fecha de publicación:

11/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** WAB-MAT Ver.5.0.0.8 and earlier starts another program with an unquoted file path. Since a registered Windows service path contains spaces and are unquoted, if a malicious executable is placed on a certain path, the executable may be executed with the privilege of the Windows service.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/02/2025

CVE-2023-25755

Fecha de publicación:

11/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** Screen Creator Advance 2 Ver.0.1.1.4 Build01A and earlier is vulnerable to improper restriction of operations within the bounds of a memory buffer (CWE-119) due to improper check of its data size when processing a project file. If a user of Screen Creator Advance 2 opens a specially crafted project file, information may be disclosed and/or arbitrary code may be executed.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/02/2025

CVE-2023-25955

Fecha de publicación:

11/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** National land numerical information data conversion tool all versions improperly restricts XML external entity references (XXE). By processing a specially crafted XML file, arbitrary files on the PC may be accessed by an attacker.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/02/2025

CVE-2023-23575

Fecha de publicación:

11/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** Improper access control vulnerability in CONPROSYS IoT Gateway products allows a remote authenticated attacker to bypass access restriction and access Network Maintenance page, which may result in obtaining the network information of the product. The affected products and versions are as follows: M2M Gateway with the firmware Ver.3.7.10 and earlier (CPS-MG341-ADSC1-111, CPS-MG341-ADSC1-931, CPS-MG341G-ADSC1-111, CPS-MG341G-ADSC1-930, and CPS-MG341G5-ADSC1-931), M2M Controller Integrated Type with firmware Ver.3.7.6 and earlier versions (CPS-MC341-ADSC1-111, CPS-MC341-ADSC1-931, CPS-MC341-ADSC2-111, CPS-MC341G-ADSC1-110, CPS-MC341Q-ADSC1-111, CPS-MC341-DS1-111, CPS-MC341-DS11-111, CPS-MC341-DS2-911, and CPS-MC341-A1-111), and M2M Controller Configurable Type with firmware Ver.3.8.8 and earlier versions (CPS-MCS341-DS1-111, CPS-MCS341-DS1-131, CPS-MCS341G-DS1-130, CPS-MCS341G5-DS1-130, and CPS-MCS341Q-DS1-131).

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/02/2025

CVE-2023-24544

Fecha de publicación:

11/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** Improper access control vulnerability in Buffalo network devices allows a network-adjacent attacker to obtain specific files of the product. As a result, the product settings may be altered. The affected products and versions are as follows: BS-GSL2024 firmware Ver. 1.10-0.03 and earlier, BS-GSL2016P firmware Ver. 1.10-0.03 and earlier, BS-GSL2016 firmware Ver. 1.10-0.03 and earlier, BS-GS2008 firmware Ver. 1.0.10.01 and earlier, BS-GS2016 firmware Ver. 1.0.10.01 and earlier, BS-GS2024 firmware Ver. 1.0.10.01 and earlier, BS-GS2048 firmware Ver. 1.0.10.01 and earlier, BS-GS2008P firmware Ver. 1.0.10.01 and earlier, BS-GS2016P firmware Ver. 1.0.10.01 and earlier, and BS-GS2024P firmware Ver. 1.0.10.01 and earlier

Gravedad CVSS v3.1: ALTA

Última modificación:

11/02/2025

CVE-2023-29492

Fecha de publicación:

11/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** Novi Survey before 8.9.43676 allows remote attackers to execute arbitrary code on the server in the context of the service account. This does not provide access to stored survey or response data.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/10/2025

CVE-2023-26121

Fecha de publicación:

11/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** All versions of the package safe-eval are vulnerable to Prototype Pollution via the safeEval function, due to improper sanitization of its parameter content.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/02/2025

CVE-2023-26122

Fecha de publicación:

11/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** All versions of the package safe-eval are vulnerable to Sandbox Bypass due to improper input sanitization. The vulnerability is derived from prototype pollution exploitation. Exploiting this vulnerability might result in remote code execution ("RCE"). **Vulnerable functions:** __defineGetter__, stack(), toLocaleString(), propertyIsEnumerable.call(), valueOf().

Gravedad CVSS v3.1: ALTA

Última modificación:

07/02/2025

CVE-2023-29189

Fecha de publicación:

11/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** SAP CRM (WebClient UI) - versions S4FND 102, 103, 104, 105, 106, 107, WEBCUIF, 700, 701, 731, 730, 746, 747, 748, 800, 801, allows an authenticated attacker to modify HTTP verbs used in requests to the web server. This application is exposed over the network and successful exploitation can lead to exposure of form fields

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/04/2023

CVE-2023-29187

Fecha de publicación:

11/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** A Windows user with basic user authorization can exploit a DLL hijacking attack in SapSetup (Software Installation Program) - version 9.0, resulting in a privilege escalation running code as administrator of the very same Windows PC. A successful attack depends on various preconditions beyond the attackers control.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/04/2023

CVE-2023-29111

Fecha de publicación:

11/04/2023

Idioma:

Inglés

*** Pendiente de traducción *** The SAP AIF (ODATA service) - versions 755, 756, discloses more detailed information than is required. An authorized attacker can use the collected information possibly to exploit the component. As a result, an attacker can cause a low impact on the confidentiality of the application.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/04/2023

Suscribirse a Vulnerabilidades