Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en múltiples productos de la Familia SmartConnect (CVE-2022-22805)

Fecha de publicación:
09/03/2022
Idioma:
Español
Existe una vulnerabilidad CWE-120: Copia del búfer sin comprobar el tamaño de la entrada ('Desbordamiento clásico del búfer') que podría causar la ejecución remota de código cuando se reensambla un paquete TLS mal gestionado. Producto afectado: Familia SmartConnect: Serie SMT (SMT Series ID=1015: UPS 04.5 y anteriores), Serie SMC (SMC Series ID=1018: UPS 04.2 y anteriores), Serie SMTL (SMTL Series ID=1026: UPS 02.9 y anteriores), Serie SCL (SCL Series ID=1029: UPS 02. 5 y anteriores / SCL Series ID=1030: UPS 02.5 y anteriores / SCL Series ID=1036: UPS 02.5 y anteriores / SCL Series ID=1037: UPS 03.1 y anteriores), SMX Series (SMX Series ID=1031: UPS 03.1 y anteriores)
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/05/2022

Vulnerabilidad en múltiples productos de la Familia SmartConnect (CVE-2022-22806)

Fecha de publicación:
09/03/2022
Idioma:
Español
Una CWE-294: se presenta una vulnerabilidad de Omisión de la Autenticación Mediante Captura-repetición que podría causar una conexión no autenticada al SAI cuando se envía una conexión malformada. Producto afectado: Familia SmartConnect: Serie SMT (SMT Series ID=1015: UPS 04.5 y anteriores), Serie SMC (SMC Series ID=1018: UPS 04.2 y anteriores), Serie SMTL (SMTL Series ID=1026: UPS 02.9 y anteriores), Serie SCL (SCL Series ID=1029: UPS 02. 5 y anteriores / SCL Series ID=1030: UPS 02.5 y anteriores / SCL Series ID=1036: UPS 02.5 y anteriores / SCL Series ID=1037: UPS 03.1 y anteriores), SMX Series (SMX Series ID=1031: UPS 03.1 y anteriores)
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/05/2022

Vulnerabilidad en múltiples productos de Familia de Smart-UPS de APC (CVE-2022-0715)

Fecha de publicación:
09/03/2022
Idioma:
Español
Una CWE-287: Se presenta una vulnerabilidad de autenticación inapropiada que podría causar que un atacante cambie arbitrariamente el comportamiento del SAI cuando es filtrada una clave y es usada para cargar firmware malicioso. Producto afectado: Familia de Smart-UPS de APC: Serie SMT (SMT Series ID=18: UPS versiones 09.8 y anteriores / SMT Series ID=1040: UPS versiones 01.2 y anteriores / SMT Series ID=1031: UPS versiones 03.1 y anteriores), SMC Series (SMC Series ID=1005: UPS versiones 14.1 y anteriores / SMC Series ID=1007: UPS versiones 11.0 y anteriores / SMC Series ID=1041: UPS versiones 01.1 y anteriores), SCL Series (SCL Series ID=1030: UPS versiones 02.5 y anteriores / SCL Series ID=1036: UPS versiones 02.5 y anteriores), SMX Series (SMX Series ID=20: UPS versiones 10.2 y anteriores / SMX Series ID=23: UPS versiones 07.0 y anteriores), SRT Series (SRT Series ID=1010/1019/1025: UPS versiones 08.3 y anteriores / SRT Series ID=1024: UPS versiones 01.0 y anteriores / SRT Series ID=1020: UPS versiones 10.4 y anteriores / SRT Series ID=1021: UPS versiones 12.2 y anteriores / SRT Series ID=1001/1013: UPS versiones 05.1 y anteriores / SRT Series ID=1002/1014: UPS versiones a05.2 y anteriores), Familia SmartConnect de APC: Serie SMT (Serie SMT ID=1015: UPS versiones 04.5 y anteriores), Serie SMC (Serie SMC ID=1018: UPS versiones 04.2 y anteriores), Serie SMTL (Serie SMTL ID=1026: UPS versiones 02.9 y anteriores), Serie SCL (Serie SCL ID=1029: UPS versiones 02.5 y anteriores / SCL Series ID=1030: UPS versiones 02.5 y anteriores / SCL Series ID=1036: UPS versiones 02.5 y anteriores / SCL Series ID=1037: UPS versiones 03.1 y anteriores), SMX Series (SMX Series ID=1031: UPS versiones 03.1 y anteriores)
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/07/2023

Vulnerabilidad en las páginas de acciones (CVE-2022-24349)

Fecha de publicación:
09/03/2022
Idioma:
Español
Un usuario autenticado puede crear un enlace con carga útil XSS reflejada para las páginas de acciones, y enviarlo a otros usuarios. El código malicioso tiene acceso a todos los mismos objetos que el resto de la página web y puede realizar modificaciones arbitrarias en el contenido de la página que se muestra a la víctima. Este ataque puede ser implementado con la ayuda de la ingeniería social y la expiración de una serie de factores - un atacante debe tener acceso autorizado al Zabbix Frontend y permitir la conexión de red entre un servidor malicioso y el ordenador de la víctima, entender la infraestructura atacada, ser reconocido por la víctima como un administrador y utilizar el canal de comunicación de confianza
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2025

Vulnerabilidad en la página de servicios (CVE-2022-24917)

Fecha de publicación:
09/03/2022
Idioma:
Español
Un usuario autenticado puede crear un enlace con código Javascript reflejado en su interior para la página de servicios y enviarlo a otros usuarios. La carga útil sólo puede ejecutarse con un valor de token CSRF conocido de la víctima, que se cambia periódicamente y es difícil de predecir. El código malicioso tiene acceso a todos los mismos objetos que el resto de la página web y puede realizar modificaciones arbitrarias en el contenido de la página que se muestra a la víctima durante los ataques de ingeniería social
Gravedad CVSS v3.1: BAJA
Última modificación:
03/11/2025

Vulnerabilidad en la página de artículos (CVE-2022-24918)

Fecha de publicación:
09/03/2022
Idioma:
Español
Un usuario autenticado puede crear un enlace con código Javascript reflejado en su interior para la página de artículos y enviarlo a otros usuarios. La carga útil sólo puede ejecutarse con un valor de token CSRF conocido de la víctima, que se cambia periódicamente y es difícil de predecir. El código malicioso tiene acceso a todos los mismos objetos que el resto de la página web y puede realizar modificaciones arbitrarias en el contenido de la página que se muestra a la víctima durante los ataques de ingeniería social
Gravedad CVSS v3.1: BAJA
Última modificación:
03/11/2025

Vulnerabilidad en la página de gráficos (CVE-2022-24919)

Fecha de publicación:
09/03/2022
Idioma:
Español
Un usuario autenticado puede crear un enlace con código Javascript reflejado en su interior para la página de los gráficos y enviarlo a otros usuarios. La carga útil sólo puede ejecutarse con un valor de token CSRF conocido de la víctima, que se cambia periódicamente y es difícil de predecir. El código malicioso tiene acceso a todos los mismos objetos que el resto de la página web y puede realizar modificaciones arbitrarias en el contenido de la página que se muestra a la víctima durante los ataques de ingeniería social
Gravedad CVSS v3.1: BAJA
Última modificación:
03/11/2025

Vulnerabilidad en el software PAN-OS de Palo Alto Networks (CVE-2022-0022)

Fecha de publicación:
09/03/2022
Idioma:
Español
Uso de un algoritmo criptográfico débil en el software PAN-OS de Palo Alto Networks en el que los hashes de las contraseñas de las cuentas de administrador y de usuario local no se crean con un nivel de esfuerzo computacional suficiente, lo que permite realizar ataques de descifrado de contraseñas en las cuentas en modo operativo normal (no FIPS-CC). Un atacante debe tener acceso a los hashes de las contraseñas de las cuentas para aprovechar esta debilidad y puede adquirir esos hashes si consigue acceder a la configuración del software PAN-OS. Las versiones corregidas del software PAN-OS utilizan un algoritmo criptográfico seguro para los hashes de las contraseñas de las cuentas. Este problema no afecta a los cortafuegos Prisma Access. Este problema afecta a: Las versiones de PAN-OS 8.1 anteriores a PAN-OS 8.1.21; todas las versiones de PAN-OS 9.0; las versiones de PAN-OS 9.1 anteriores a PAN-OS 9.1.11; las versiones de PAN-OS 10.0 anteriores a PAN-OS 10.0.7
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/03/2022

Vulnerabilidad en Azure Site Recovery de Microsoft (CVE-2022-24520)

Fecha de publicación:
09/03/2022
Idioma:
Español
Una vulnerabilidad de Ejecución de Código Remota en Azure Site Recovery. Este ID de CVE es diferente de CVE-2022-24467, CVE-2022-24468, CVE-2022-24470, CVE-2022-24471, CVE-2022-24517
Gravedad CVSS v3.1: ALTA
Última modificación:
29/06/2023

Vulnerabilidad en Windows Update Stack de Microsoft (CVE-2022-24525)

Fecha de publicación:
09/03/2022
Idioma:
Español
Una vulnerabilidad de Elevación de Privilegios en Windows Update Stack
Gravedad CVSS v3.1: ALTA
Última modificación:
29/06/2023

Vulnerabilidad en Visual Studio Code de Microsoft (CVE-2022-24526)

Fecha de publicación:
09/03/2022
Idioma:
Español
Una vulnerabilidad de Suplantación de Visual Studio Code
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/06/2023

Vulnerabilidad en Azure Site Recovery de Microsoft (CVE-2022-24519)

Fecha de publicación:
09/03/2022
Idioma:
Español
Una vulnerabilidad de Elevación de Privilegios en Azure Site Recovery. Este ID de CVE es diferente de CVE-2022-24469, CVE-2022-24506, CVE-2022-24515, CVE-2022-24518
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/08/2023