Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en GitLab CE/EE (CVE-2022-1413)

Fecha de publicación:
19/05/2022
Idioma:
Español
Una falta de enmascaramiento de entradas en GitLab CE/EE, afectando a todas las versiones a partir de la 1.0.2 anteriores a 14.8.6, todas las versiones a partir de la 14.9.0 anteriores a 14.9.4 y todas las versiones a partir de la 14.10.0 anteriores a 14.10.1, causa una divulgación de propiedades de integración potencialmente confidenciales en la interfaz web
Gravedad CVSS v3.1: ALTA
Última modificación:
08/08/2023

Vulnerabilidad en el mecanismo de caché CI/CD en GitLab CE/EE (CVE-2022-1423)

Fecha de publicación:
19/05/2022
Idioma:
Español
Un control de acceso inapropiado en el mecanismo de caché CI/CD en GitLab CE/EE afectando a todas las versiones a partir de la 1.0.2 anteriores a 14.8.6, todas las versiones a partir de la 14.9.0 anteriores a 14.9.4 y todas las versiones a partir de la 14.10.0 anteriores a 14.10.1, permite a un actor malicioso con privilegios de desarrollador llevar a cabo un envenenamiento de la caché conllevando a una ejecución de código arbitrario en ramas protegidas
Gravedad CVSS v3.1: ALTA
Última modificación:
08/08/2023

Vulnerabilidad en Emerson OpenEnterprise (CVE-2020-16235)

Fecha de publicación:
19/05/2022
Idioma:
Español
Un cifrado inapropiado puede permitir que sean obtenidas las credenciales usadas por Emerson OpenEnterprise, versiones hasta 3.3.5, para acceder a dispositivos de campo y a sistemas externos
Gravedad CVSS v3.1: MEDIA
Última modificación:
31/05/2022

Vulnerabilidad en la interfaz del Grupo Fieldcomm HART-IP (CVE-2020-16209)

Fecha de publicación:
19/05/2022
Idioma:
Español
Un atacante malicioso podría explotar la interfaz del Grupo Fieldcomm HART-IP (versión 1.0.0.0) al construir mensajes con cargas útiles suficientemente grandes para desbordar el búfer interno y bloquear el dispositivo, u obtener el control del mismo
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
02/06/2022

Vulnerabilidad en múltiples Productos Mitsubishi Electric Factory Automation Engineering Software (CVE-2020-14496)

Fecha de publicación:
19/05/2022
Idioma:
Español
Una explotación con éxito de esta vulnerabilidad para múltiples Productos Mitsubishi Electric Factory Automation Engineering Software de varias versiones podría permitir a un atacante escalar privilegios y ejecutar programas maliciosos, lo que podría causar una condición de denegación de servicio, y permitir que la información sea divulgada, manipulada y/o destruida
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/06/2022

Vulnerabilidad en los controladores Bachmann Electronic M-Base (CVE-2020-16231)

Fecha de publicación:
19/05/2022
Idioma:
Español
Los controladores Bachmann Electronic M-Base afectados de la versión MSYS v1.06.14 y posteriores, usan una criptografía débil para proteger las contraseñas de los dispositivos. Los controladores afectados que reciben soporte activo incluyen los controladores de hardware MX207, MX213, MX220, MC206, MC212, MC220 y MH230, y los controladores afectados al final de su vida útil incluyen los controladores de hardware MC205, MC210, MH212, ME203, CS200, MP213, MP226, MPC240, MPC265, MPC270, MPC293, MPE270 y CPC210. El nivel de seguridad 0 está configurado por defecto por el fabricante, lo que podría permitir a un atacante remoto no autenticado acceder a los hashes de las contraseñas. El nivel de seguridad 4 es susceptible de a un atacante remoto autenticado o una persona no autenticada con acceso físico al dispositivo leer y descifrar la contraseña para conducir otros ataques
Gravedad CVSS v3.1: ALTA
Última modificación:
08/06/2022

Vulnerabilidad en el plugin Opal Hotel Room Booking en WordPress (CVE-2022-29449)

Fecha de publicación:
19/05/2022
Idioma:
Español
Una vulnerabilidad de tipo Cross-Site Scripting (XSS) autenticado (rol de colaborador o usuario superior) en el plugin Opal Hotel Room Booking versiones anteriores a 1.2.7 incluyéndola, en WordPress
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/05/2022

Vulnerabilidad en el plugin Counter Box de Wow-Company en WordPress (CVE-2022-29446)

Fecha de publicación:
19/05/2022
Idioma:
Español
Una vulnerabilidad de Inclusión de Archivos Locales (LFI) autenticado (rol de administrador o superior) en el plugin Counter Box de Wow-Company versiones anteriores a 1.1.1 incluyéndola, en WordPress
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/02/2025

Vulnerabilidad en parámetros de configuración y url en Subconverter (CVE-2022-28927)

Fecha de publicación:
19/05/2022
Idioma:
Español
Una vulnerabilidad de ejecución de código remota (RCE) en Subconverter versión v0.7.2, permite a atacantes ejecutar código arbitrario por medio de parámetros de configuración y url diseñados
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
26/05/2022

Vulnerabilidad en HTTP Strict Transport Security en IBM Security Identity Governance and Intelligence (CVE-2020-4970)

Fecha de publicación:
19/05/2022
Idioma:
Español
IBM Security Identity Governance and Intelligence versiones 5.2.4, 5.2.5 y 5.2.6, podría permitir a un atacante remoto obtener información confidencial, causado por el fallo en la habilitación apropiada de HTTP Strict Transport Security. Un atacante podría aprovechar esta vulnerabilidad para obtener información confidencial usando técnicas de tipo man in the middle. IBM X-Force ID: 192429
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/07/2022

Vulnerabilidad en el repositorio de GitHub vim/vim (CVE-2022-1796)

Fecha de publicación:
19/05/2022
Idioma:
Español
Un Uso de Memoria Previamente Liberada en el repositorio de GitHub vim/vim versiones anteriores a 8.2.4979
Gravedad CVSS v3.1: ALTA
Última modificación:
15/02/2024

Vulnerabilidad en la clase BCrypt con el máximo factor de trabajo en Spring Security (CVE-2022-22976)

Fecha de publicación:
19/05/2022
Idioma:
Español
Spring Security versiones 5.5.x anteriores a 5.5.7, 5.6.x anteriores a 5.6.4 y versiones anteriores no soportadas, contienen una vulnerabilidad de desbordamiento de enteros. Cuando es usada la clase BCrypt con el máximo factor de trabajo (31), el codificador no lleva a cabo ninguna ronda salt, debido a un error de desbordamiento de enteros. La configuración por defecto no está afectada por esta CVE
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/06/2024