Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2023-22474
Fecha de publicación:
03/02/2023
Idioma:
Inglés
*** Pendiente de traducción *** Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Parse Server uses the request header `x-forwarded-for` to determine the client IP address. If Parse Server doesn't run behind a proxy server, then a client can set this header and Parse Server will trust the value of the header. The incorrect client IP address will be used by various features in Parse Server. This allows to circumvent the security mechanism of the Parse Server option `masterKeyIps` by setting an allowed IP address as the `x-forwarded-for` header value. This issue has been patched in version 5.4.1. The mechanism to determine the client IP address has been rewritten. The correct IP address determination now requires to set the Parse Server option `trustProxy`.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/02/2023

CVE-2023-23937
Fecha de publicación:
03/02/2023
Idioma:
Inglés
*** Pendiente de traducción *** Pimcore is an Open Source Data &amp; Experience Management Platform: PIM, MDM, CDP, DAM, DXP/CMS &amp; Digital Commerce.<br /> The upload functionality for updating user profile does not properly validate the file content-type, allowing any authenticated user to bypass this security check by adding a valid signature (p.e. GIF89) and sending any invalid content-type. This could allow an authenticated attacker to upload HTML files with JS content that will be executed in the context of the domain. This issue has been patched in version 10.5.16.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

CVE-2023-23933
Fecha de publicación:
03/02/2023
Idioma:
Inglés
*** Pendiente de traducción *** OpenSearch Anomaly Detection identifies atypical data and receives automatic notifications. There is an issue with the application of document and field level restrictions in the Anomaly Detection plugin, where users with the Anomaly Detector role can read aggregated numerical data (e.g. averages, sums) of fields that are otherwise restricted to them. This issue only affects authenticated users who were previously granted read access to the indexes containing the restricted fields. This issue has been patched in versions 1.3.8 and 2.6.0. There are no known workarounds for this issue.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/02/2023

CVE-2023-23925
Fecha de publicación:
03/02/2023
Idioma:
Inglés
*** Pendiente de traducción *** Switcher Client is a JavaScript SDK to work with Switcher API which is cloud-based Feature Flag. Unsanitized input flows into Strategy match operation (EXIST), where it is used to build a regular expression. This may result in a Regular expression Denial of Service attack (reDOS). This issue has been patched in version 3.1.4. As a workaround, avoid using Strategy settings that use REGEX in conjunction with EXIST and NOT_EXIST operations.<br />
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

CVE-2013-10016
Fecha de publicación:
03/02/2023
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was found in fanzila WebFinance 0.5 and classified as critical. This issue affects some unknown processing of the file htdocs/admin/save_taxes.php. The manipulation of the argument id leads to sql injection. The patch is named 306f170ca2a8203ae3d8f51fb219ba9e05b945e1. It is recommended to apply a patch to fix this issue. The associated identifier of this vulnerability is VDB-220055.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/05/2024

CVE-2013-10015
Fecha de publicación:
03/02/2023
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability has been found in fanzila WebFinance 0.5 and classified as critical. This vulnerability affects unknown code of the file htdocs/admin/save_Contract_Signer_Role.php. The manipulation of the argument n/v leads to sql injection. The patch is identified as abad81af614a9ceef3f29ab22ca6bae517619e06. It is recommended to apply a patch to fix this issue. VDB-220054 is the identifier assigned to this vulnerability.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/05/2024

CVE-2023-24576
Fecha de publicación:
03/02/2023
Idioma:
Inglés
*** Pendiente de traducción *** <br /> <br /> <br /> EMC NetWorker may potentially be vulnerable to an unauthenticated remote code execution vulnerability in the NetWorker Client execution service (nsrexecd) irrespective of any auth used.<br /> <br /> <br /> <br />
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/11/2023

CVE-2023-23477
Fecha de publicación:
03/02/2023
Idioma:
Inglés
*** Pendiente de traducción *** IBM WebSphere Application Server 8.5 and 9.0 traditional could allow a remote attacker to execute arbitrary code on the system with a specially crafted sequence of serialized objects. IBM X-Force ID: 245513.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/11/2023

CVE-2023-20854
Fecha de publicación:
03/02/2023
Idioma:
Inglés
*** Pendiente de traducción *** VMware Workstation contains an arbitrary file deletion vulnerability. A malicious actor with local user privileges on the victim&amp;#39;s machine may exploit this vulnerability to delete arbitrary files from the file system of the machine on which Workstation is installed.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/03/2025

CVE-2022-42909
Fecha de publicación:
03/02/2023
Idioma:
Inglés
*** Pendiente de traducción *** WEPA Print Away does not verify that a user has authorization to access documents before generating print orders and associated release codes. This could allow an attacker to generate print orders and release codes for documents they don´t own and print hem without authorization. In order to exploit this vulnerability, the user must have an account with wepanow.com or any of the institutions they serve, and be logged in.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2023

CVE-2022-42908
Fecha de publicación:
03/02/2023
Idioma:
Inglés
*** Pendiente de traducción *** WEPA Print Away is vulnerable to a stored XSS. It does not properly sanitize uploaded filenames, allowing an attacker to deceive a user into uploading a document with a malicious filename, which will be included in subsequent HTTP responses, allowing a stored XSS to occur. This attack is persistent across victim sessions.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2023

CVE-2022-31733
Fecha de publicación:
03/02/2023
Idioma:
Inglés
*** Pendiente de traducción *** Starting with diego-release 2.55.0 and up to 2.69.0, and starting with CF Deployment 17.1 and up to 23.2.0, apps are accessible via another port on diego cells, allowing application ingress without a client certificate. If mTLS route integrity is enabled AND unproxied ports are turned off, then an attacker could connect to an application that should be only reachable via mTLS, without presenting a client certificate.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
25/03/2025
Suscribirse a Vulnerabilidades