Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el panel de administración de Strapi (CVE-2022-30617)

Fecha de publicación:
19/05/2022
Idioma:
Español
Un usuario autenticado con acceso al panel de administración de Strapi puede visualizar datos privados y confidenciales, como el correo electrónico y los tokens de restablecimiento de contraseña, para otros usuarios del panel de administración que tengan una relación (por ejemplo, creado por, actualizado por) con el contenido accesible para el usuario autenticado. Por ejemplo, una cuenta de rol "author" con pocos privilegios puede visualizar estos detalles en la respuesta JSON para un "editor" o "super admin" que haya actualizado una de las entradas del blog del autor. También se presentan muchos otros escenarios donde estos detalles de otros usuarios pueden filtrarse en la respuesta JSON, ya sea mediante una relación directa o indirecta. El acceso a esta información permite a un usuario comprometer las cuentas de otros usuarios al invocar con éxito el flujo de trabajo de restablecimiento de contraseña. En el peor de los casos, un usuario con pocos privilegios podría acceder a una cuenta "super admin" con control total sobre la instancia de Strapi, y podría leer y modificar cualquier dato, así como bloquear el acceso tanto al panel de administración como a la API al revocar los privilegios de todos los demás usuarios
Gravedad CVSS v3.1: ALTA
Última modificación:
06/06/2022

Vulnerabilidad en el panel de administración de Strapi (CVE-2022-30618)

Fecha de publicación:
19/05/2022
Idioma:
Español
Un usuario autenticado con acceso al panel de administración de Strapi puede visualizar datos privados y confidenciales, como el correo electrónico y los tokens de restablecimiento de contraseña, para los usuarios de la API si los tipos de contenido accesibles para el usuario autenticado contienen relaciones con los usuarios de la API (from:users-permissions). Se presentan muchos escenarios en los que estos detalles de los usuarios de la API pueden filtrarse en la respuesta JSON dentro del panel de administración, ya sea mediante una relación directa o indirecta. El acceso a esta información permite a un usuario comprometer las cuentas de estos usuarios si los endpoints de la API de restablecimiento de contraseña han sido habilitados. En el peor de los casos, un usuario con pocos privilegios podría acceder a una cuenta de la API con altos privilegios, y podría leer y modificar cualquier dato, así como bloquear el acceso tanto al panel de administración como a la API al revocar los privilegios de todos los demás usuarios
Gravedad CVSS v3.1: ALTA
Última modificación:
06/06/2022

Vulnerabilidad en GitLab CE/EE (CVE-2022-1413)

Fecha de publicación:
19/05/2022
Idioma:
Español
Una falta de enmascaramiento de entradas en GitLab CE/EE, afectando a todas las versiones a partir de la 1.0.2 anteriores a 14.8.6, todas las versiones a partir de la 14.9.0 anteriores a 14.9.4 y todas las versiones a partir de la 14.10.0 anteriores a 14.10.1, causa una divulgación de propiedades de integración potencialmente confidenciales en la interfaz web
Gravedad CVSS v3.1: ALTA
Última modificación:
08/08/2023

Vulnerabilidad en el mecanismo de caché CI/CD en GitLab CE/EE (CVE-2022-1423)

Fecha de publicación:
19/05/2022
Idioma:
Español
Un control de acceso inapropiado en el mecanismo de caché CI/CD en GitLab CE/EE afectando a todas las versiones a partir de la 1.0.2 anteriores a 14.8.6, todas las versiones a partir de la 14.9.0 anteriores a 14.9.4 y todas las versiones a partir de la 14.10.0 anteriores a 14.10.1, permite a un actor malicioso con privilegios de desarrollador llevar a cabo un envenenamiento de la caché conllevando a una ejecución de código arbitrario en ramas protegidas
Gravedad CVSS v3.1: ALTA
Última modificación:
08/08/2023

Vulnerabilidad en Emerson OpenEnterprise (CVE-2020-16235)

Fecha de publicación:
19/05/2022
Idioma:
Español
Un cifrado inapropiado puede permitir que sean obtenidas las credenciales usadas por Emerson OpenEnterprise, versiones hasta 3.3.5, para acceder a dispositivos de campo y a sistemas externos
Gravedad CVSS v3.1: MEDIA
Última modificación:
31/05/2022

Vulnerabilidad en la interfaz del Grupo Fieldcomm HART-IP (CVE-2020-16209)

Fecha de publicación:
19/05/2022
Idioma:
Español
Un atacante malicioso podría explotar la interfaz del Grupo Fieldcomm HART-IP (versión 1.0.0.0) al construir mensajes con cargas útiles suficientemente grandes para desbordar el búfer interno y bloquear el dispositivo, u obtener el control del mismo
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
02/06/2022

Vulnerabilidad en múltiples Productos Mitsubishi Electric Factory Automation Engineering Software (CVE-2020-14496)

Fecha de publicación:
19/05/2022
Idioma:
Español
Una explotación con éxito de esta vulnerabilidad para múltiples Productos Mitsubishi Electric Factory Automation Engineering Software de varias versiones podría permitir a un atacante escalar privilegios y ejecutar programas maliciosos, lo que podría causar una condición de denegación de servicio, y permitir que la información sea divulgada, manipulada y/o destruida
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/06/2022

Vulnerabilidad en los controladores Bachmann Electronic M-Base (CVE-2020-16231)

Fecha de publicación:
19/05/2022
Idioma:
Español
Los controladores Bachmann Electronic M-Base afectados de la versión MSYS v1.06.14 y posteriores, usan una criptografía débil para proteger las contraseñas de los dispositivos. Los controladores afectados que reciben soporte activo incluyen los controladores de hardware MX207, MX213, MX220, MC206, MC212, MC220 y MH230, y los controladores afectados al final de su vida útil incluyen los controladores de hardware MC205, MC210, MH212, ME203, CS200, MP213, MP226, MPC240, MPC265, MPC270, MPC293, MPE270 y CPC210. El nivel de seguridad 0 está configurado por defecto por el fabricante, lo que podría permitir a un atacante remoto no autenticado acceder a los hashes de las contraseñas. El nivel de seguridad 4 es susceptible de a un atacante remoto autenticado o una persona no autenticada con acceso físico al dispositivo leer y descifrar la contraseña para conducir otros ataques
Gravedad CVSS v3.1: ALTA
Última modificación:
08/06/2022

Vulnerabilidad en el plugin Opal Hotel Room Booking en WordPress (CVE-2022-29449)

Fecha de publicación:
19/05/2022
Idioma:
Español
Una vulnerabilidad de tipo Cross-Site Scripting (XSS) autenticado (rol de colaborador o usuario superior) en el plugin Opal Hotel Room Booking versiones anteriores a 1.2.7 incluyéndola, en WordPress
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/05/2022

Vulnerabilidad en el plugin Counter Box de Wow-Company en WordPress (CVE-2022-29446)

Fecha de publicación:
19/05/2022
Idioma:
Español
Una vulnerabilidad de Inclusión de Archivos Locales (LFI) autenticado (rol de administrador o superior) en el plugin Counter Box de Wow-Company versiones anteriores a 1.1.1 incluyéndola, en WordPress
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/02/2025

Vulnerabilidad en parámetros de configuración y url en Subconverter (CVE-2022-28927)

Fecha de publicación:
19/05/2022
Idioma:
Español
Una vulnerabilidad de ejecución de código remota (RCE) en Subconverter versión v0.7.2, permite a atacantes ejecutar código arbitrario por medio de parámetros de configuración y url diseñados
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
26/05/2022

Vulnerabilidad en HTTP Strict Transport Security en IBM Security Identity Governance and Intelligence (CVE-2020-4970)

Fecha de publicación:
19/05/2022
Idioma:
Español
IBM Security Identity Governance and Intelligence versiones 5.2.4, 5.2.5 y 5.2.6, podría permitir a un atacante remoto obtener información confidencial, causado por el fallo en la habilitación apropiada de HTTP Strict Transport Security. Un atacante podría aprovechar esta vulnerabilidad para obtener información confidencial usando técnicas de tipo man in the middle. IBM X-Force ID: 192429
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/07/2022