Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en EcoStruxure Power Monitoring Expert (CVE-2022-22726)

Fecha de publicación:
04/02/2022
Idioma:
Español
Una CWE-20: Se presenta una vulnerabilidad de Comprobación de Entrada Inapropiada que podría permitir una lectura de archivos arbitrarios en el servidor por parte de usuarios autenticados mediante una cuenta de servicio del sistema operativo limitada. Producto afectado: EcoStruxure Power Monitoring Expert (Versiones 2020 y anteriores)
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2022

Vulnerabilidad en EcoStruxure Power Monitoring Expert (CVE-2022-22804)

Fecha de publicación:
04/02/2022
Idioma:
Español
Una CWE-79: Se presenta una vulnerabilidad de Neutralización Inapropiada de la Entrada Durante la Generación de la Página Web ("Cross-site Scripting") que podría permitir a un atacante autenticado visualizar datos, cambiar la configuración o afectar a la disponibilidad del software cuando el usuario visita una página que contiene la carga útil inyectada. Producto afectado: EcoStruxure Power Monitoring Expert (Versiones 2020 y anteriores)
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2022

Vulnerabilidad en CPUs Modicon M340: BMXP34 (CVE-2022-22724)

Fecha de publicación:
04/02/2022
Idioma:
Español
Una CWE-400: Se presenta una vulnerabilidad de Consumo no Controlado de Recursos que podría causar una denegación de servicio en los puertos 80 (HTTP) y 502 (Modbus), cuando es enviado un gran número de paquetes TCP RST o FIN a cualquier puerto TCP abierto del PLC. Producto afectado: CPUs Modicon M340: BMXP34 (Todas las versiones)
Gravedad CVSS v3.1: ALTA
Última modificación:
25/02/2022

Vulnerabilidad en EcoStruxure Power Monitoring Expert (CVE-2022-22727)

Fecha de publicación:
04/02/2022
Idioma:
Español
Una CWE-20: Se presenta una vulnerabilidad de Comprobación de Entrada Inapropiada que podría permitir a un atacante no autenticado visualizar datos, cambiar la configuración, afectar a la disponibilidad del software o potencialmente afectar a la máquina local de un usuario cuando éste hace clic en un enlace especialmente diseñado. Producto afectado: EcoStruxure Power Monitoring Expert (versiones 2020 y anteriores)
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en VMware Cloud Foundation (CVE-2022-22939)

Fecha de publicación:
04/02/2022
Idioma:
Español
VMware Cloud Foundation contiene una vulnerabilidad de divulgación de información debido al registro de credenciales en texto plano dentro de varios archivos de registro en el SDDC Manager. Un actor malicioso con acceso a root en VMware Cloud Foundation SDDC Manager puede ser capaz de visualizar las credenciales en texto plano dentro de uno o más archivos de registro
Gravedad CVSS v3.1: MEDIA
Última modificación:
31/10/2025

Vulnerabilidad en "tempfile.mktemp" en Tensorflow (CVE-2022-23563)

Fecha de publicación:
04/02/2022
Idioma:
Español
Tensorflow es un Marco de Aprendizaje Automático de Código Abierto. En varios lugares, TensorFlow usa "tempfile.mktemp" para crear archivos temporales. Mientras que esto es aceptable en las pruebas, en las utilidades y bibliotecas es peligroso ya que un proceso diferente puede crear el archivo entre la comprobación del nombre del archivo en "mktemp" y la creación real del archivo por una operación posterior (una debilidad del tipo TOC/TOU). En varios casos, se supone que TensorFlow debería crear un directorio temporal en lugar de un archivo. Este error lógico está oculto por el uso de la función "mktemp". Hemos parcheado el problema en varios commits, sustituyendo "mktemp" por las funciones más seguras "mkstemp"/"mkdtemp", de acuerdo con el patrón de uso. Se recomienda a usuarios que actualicen lo antes posible
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/07/2023

Vulnerabilidad en Acronis Cyber Protect Home Office (Windows), Acronis True Image 2021 (Windows) (CVE-2021-44205)

Fecha de publicación:
04/02/2022
Idioma:
Español
Una escalada de privilegios local debido a una vulnerabilidad de secuestro de DLL. Los siguientes productos están afectados: Acronis Cyber Protect Home Office (Windows) versiones anteriores a la versión 39612, Acronis True Image 2021 (Windows) versiones anteriores a la versión 39287
Gravedad CVSS v3.1: ALTA
Última modificación:
09/02/2022

Vulnerabilidad en el servicio Acronis Media Builder en Acronis Cyber Protect Home Office (Windows), Acronis True Image 2021 (Windows) (CVE-2021-44206)

Fecha de publicación:
04/02/2022
Idioma:
Español
Una escalada local de privilegios debido a una vulnerabilidad de secuestro de DLL en el servicio Acronis Media Builder. Los siguientes productos están afectados: Acronis Cyber Protect Home Office (Windows) versiones anteriores a la compilación 39612, Acronis True Image 2021 (Windows) versiones anteriores a la compilación 39287
Gravedad CVSS v3.1: ALTA
Última modificación:
09/02/2022

Vulnerabilidad en go-attestation (CVE-2022-0317)

Fecha de publicación:
04/02/2022
Idioma:
Español
Una vulnerabilidad de Comprobación de Entrada Inapropiada en go-attestation versiones anteriores a 0.3.3, permite a usuarios locales proporcionar una cita con forma maliciosa sobre no/algunas PCR, causando que AKPublic.Verify tenga éxito a pesar de la inconsistencia. El uso posterior del mismo conjunto de valores de PCR en Eventlog.Verify carece de la autenticación llevada a cabo por la verificación de citas, lo que significa que un atacante local podría acoplar esta vulnerabilidad con un registro TCG diseñado de forma maliciosa en Eventlog.Verify para falsificar eventos en el registro TCG, derrotando así el arranque medido comprobado de forma remota. Recomendamos actualizar a la versión 0.4.0 o superior
Gravedad CVSS v3.1: BAJA
Última modificación:
09/02/2022

Vulnerabilidad en Mirantis Container Cloud Lens Extension (CVE-2022-0484)

Fecha de publicación:
04/02/2022
Idioma:
Español
Una falta de comprobación de las URLs causa que Mirantis Container Cloud Lens Extension versiones anteriores a v3.1.1, abra programas externos distintos al navegador por defecto para llevar a cabo el inicio de sesión en un nuevo cluster. Un atacante podría alojar un servidor web que sirva un archivo de configuración de Mirantis Container Cloud malicioso e inducir a la víctima a añadir un nuevo cluster por medio de su URL. Este problema afecta a: Mirantis Container Cloud Lens Extension versiones v3 anteriores a la v3.1.1
Gravedad CVSS v3.1: ALTA
Última modificación:
09/02/2022

Vulnerabilidad en $_SERVER["PHP_SELF"] en el archivo ~/options-fotobook.php en el plugin Fotobook de WordPress (CVE-2022-0380)

Fecha de publicación:
04/02/2022
Idioma:
Español
El plugin Fotobook de WordPress es vulnerable a un ataque de tipo Cross-Site Scripting Reflejado debido a un escape insuficiente y al uso de $_SERVER["PHP_SELF"] encontrado en el archivo ~/options-fotobook.php que permite a atacantes inyectar scripts web arbitrarios en la página, en versiones hasta la 3.2.3 incluyéndola
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2022

Vulnerabilidad en el parámetro url en el archivo ~/swagger-iframe.php en el plugin Embed Swagger de WordPress (CVE-2022-0381)

Fecha de publicación:
04/02/2022
Idioma:
Español
El plugin Embed Swagger de WordPress es vulnerable a un ataque de tipo Cross-Site Scripting Reflejado debido a un escape/saneo y comprobación insuficientes por medio del parámetro url encontrado en el archivo ~/swagger-iframe.php que permite a atacantes inyectar scripts web arbitrarios en la página, en versiones hasta la 1.0.0 incluyéndola
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2022