Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en un archivo CSV/XLS en la función Export de Magnolia (CVE-2021-46363)

Fecha de publicación:

11/02/2022

Idioma:

Español

Un problema en la función de exportación de Magnolia v6.2.3 e inferior permite a los atacantes realizar ataques de inyección de fórmulas a través de archivos CSV/XLS manipulados. Estas fórmulas pueden dar lugar a la ejecución de código arbitrario en el ordenador de la víctima al abrir los archivos exportados con Microsoft Excel

Gravedad CVSS v3.1: ALTA

Última modificación:

05/06/2022

Vulnerabilidad en la página de inicio de sesión de Magnolia CMS (CVE-2021-46366)

Fecha de publicación:

11/02/2022

Idioma:

Español

Un problema en la página de inicio de sesión de Magnolia CMS versiones v6.2.3 y anteriores, permite a atacantes explotar tanto una vulnerabilidad de Redireccionamiento Abierto como de tipo Cross-Site Request Forgery (CSRF) con el fin de hacer fuerza bruta y exfiltrar las credenciales de los usuarios

Gravedad CVSS v3.1: ALTA

Última modificación:

12/07/2022

Vulnerabilidad en una carga útil en el parámetro fullname en los formularios Registration and Forgotten Password de Magnolia (CVE-2021-46362)

Fecha de publicación:

11/02/2022

Idioma:

Español

Una vulnerabilidad de Inyección de Plantilla del Lado del Servidor (SSTI) en los formularios Registration and Forgotten Password de Magnolia versiones v6.2.3 y anteriores, permite a atacantes ejecutar código arbitrario por medio de una carga útil diseñada introducida en el parámetro fullname

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

08/08/2023

Vulnerabilidad en Action Pack (CVE-2022-23633)

Fecha de publicación:

11/02/2022

Idioma:

Español

Action Pack es un marco de trabajo para manejar y responder a peticiones web. Bajo determinadas circunstancias los cuerpos de las respuestas no son cerradas. En el caso de que una respuesta *no* sea notificada de un "close", "ActionDispatch::Executor" no sabrá restablecer el estado local del hilo para la siguiente petición. Esto puede conllevar a que sean filtrados datos a las siguientes peticiones. Esto ha sido corregido en Rails versiones 7.0.2.1, 6.1.4.5, 6.0.4.5 y 5.2.6.1. Es recomendado encarecidamente actualizar, pero para mitigar este problema puede usarse el middleware descrito en GHSA-wh98-p28r-vrc9

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/01/2024

Vulnerabilidad en debian-edu-config (CVE-2021-20001)

Fecha de publicación:

11/02/2022

Idioma:

Español

Se ha detectado que debian-edu-config, un conjunto de archivos de configuración usados para la mezcla de Debian Edu, versiones anteriores a 2.12.16, configuraba permisos no seguros para los recursos compartidos de la web del usuario (~/public_html), lo que podría resultar en una escalada de privilegios

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

22/02/2022

Vulnerabilidad en el paquete vm2 (CVE-2021-23555)

Fecha de publicación:

11/02/2022

Idioma:

Español

El paquete vm2 versiones anteriores a 3.9.6, es vulnerable a una Omisión de Sandbox por medio del acceso directo a los objetos de error del host generados por los internos del nodo durante la generación de un stacktrace, lo que puede conllevar a una ejecución de código arbitrario en la máquina del host

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

22/02/2022

Vulnerabilidad en la documentación --mirror para Git (CVE-2022-24975)

Fecha de publicación:

11/02/2022

Idioma:

Español

La documentación --mirror para Git versiones hasta 2.35.1, no menciona la disponibilidad del contenido eliminado, también se conoce como el problema "GitBleed". Esto podría presentar un riesgo de seguridad si los procesos de auditoría de divulgación de información dependen de una operación de clonación sin la opción --mirror

Gravedad CVSS v3.1: ALTA

Última modificación:

03/08/2024

Vulnerabilidad en metacaracteres de shell en el campo guestuser a la función __fastcall con una petición POST en Tenda AC9 (CVE-2020-26728)

Fecha de publicación:

11/02/2022

Idioma:

Español

Se ha detectado una vulnerabilidad en Tenda AC9 versión v3.0 V15.03.06.42_multi y Tenda AC9 versión V1.0 V15.03.05.19(6318)_CN que permite una ejecución de código remota por medio de metacaracteres de shell en el campo guestuser a la función __fastcall con una petición POST

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

22/02/2022

Vulnerabilidad en productos específicos de BD Pyxis (CVE-2022-22766)

Fecha de publicación:

11/02/2022

Idioma:

Español

Unas credenciales embebidas son usadas en productos específicos de BD Pyxis. Si es explotado, los actores de la amenaza pueden ser capaces de conseguir acceso al sistema de archivos subyacente y podrían potencialmente explotar los archivos de la aplicación para obtener información que podría ser usada para descifrar las credenciales de la aplicación o para conseguir acceso a la información de salud electrónica protegida (ePHI) u otra información confidencial

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/05/2022

Vulnerabilidad en Camera (CVE-2022-23998)

Fecha de publicación:

11/02/2022

Idioma:

Español

Una vulnerabilidad de control de acceso inapropiado en Camera versiones anteriores a 11.1.02.16 en Android R(11), versiones 10.5.03.77 en Android Q(10) y versiones 9.0.6.68 en Android P(9) permite que aplicaciones no confiables tomen una foto en estado de bloqueo de pantalla

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/02/2022

Vulnerabilidad en PendingIntent en CpaReceiver (CVE-2022-23999)

Fecha de publicación:

11/02/2022

Idioma:

Español

Una vulnerabilidad de secuestro de PendingIntent en CpaReceiver versiones anteriores a SMR Feb-2022 Release 1, permite a atacantes locales acceder a archivos multimedia sin permiso en KnoxPrivacyNoticeReceiver por medio de una intención implícita

Gravedad CVSS v3.1: BAJA

Última modificación:

22/02/2022

Vulnerabilidad en PendingIntent en DataUsageReminderReceiver (CVE-2022-24000)

Fecha de publicación:

11/02/2022

Idioma:

Español

Una vulnerabilidad de secuestro de PendingIntent en DataUsageReminderReceiver versiones anteriores a SMR Feb-2022 Release 1, permite a atacantes locales acceder a archivos multimedia sin permiso en KnoxPrivacyNoticeReceiver por medio de un Intent implícito

Gravedad CVSS v3.1: BAJA

Última modificación:

22/02/2022

Suscribirse a Vulnerabilidades