Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la funcionalidad rename en OnionShare (CVE-2022-21696)

Fecha de publicación:
18/01/2022
Idioma:
Español
OnionShare es una herramienta de código abierto que permite compartir archivos, alojar sitios web y chatear con amigos de forma segura y anónima usando la red Tor. En las versiones afectadas es posible cambiar el nombre de usuario por el de otro participante en el chat con un carácter de espacio adicional al final de la cadena del nombre. Un adversario con acceso al entorno del chat puede usar la funcionalidad rename para suplantar a otros participantes al añadir caracteres de espacio en blanco al final del nombre de usuario
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/01/2022

Vulnerabilidad en el endpoint /listes/DTsendmaildata/adm_utilisateur/send-mail.json en Delta RM (CVE-2021-44839)

Fecha de publicación:
18/01/2022
Idioma:
Español
Se ha detectado un problema en Delta RM versión 1.2. Es posible solicitar una nueva contraseña para cualquier otra cuenta usando el ID de la cuenta. Usando el endpoint /listes/DTsendmaildata/adm_utilisateur/send-mail.json, un usuario puede enviar una matriz JSON con IDs de usuarios a los que les restablecerá la contraseña (y les enviará la nueva a sus respectivas direcciones de correo electrónico)
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/01/2022

Vulnerabilidad en el endpoint /risque/risque/workflow/reset en Delta RM (CVE-2021-44836)

Fecha de publicación:
18/01/2022
Idioma:
Español
Se ha detectado un problema en Delta RM versión 1.2. El endpoint /risque/risque/workflow/reset carece de controles de acceso, y es posible que un usuario no privilegiado reabra un riesgo con una petición POST, usando el parámetro risqueID para identificar el riesgo a reabrir
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/07/2022

Vulnerabilidad en el endpoint /risque/risque/ajax-details en Delta RM (CVE-2021-44838)

Fecha de publicación:
18/01/2022
Idioma:
Español
Se ha detectado un problema en Delta RM versión 1.2. Usando el endpoint /risque/risque/ajax-details, con una petición POST indicando el riesgo a acceder con el parámetro id, es posible que usuarios accedan a riesgos de otras empresas
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/08/2023

Vulnerabilidad en el endpoint /core/table/query en Delta RM (CVE-2021-44840)

Fecha de publicación:
18/01/2022
Idioma:
Español
Se ha detectado un problema en Delta RM versión 1.2. Usando una cuenta con privilegios, es posible editar, crear y eliminar etiquetas de riesgo, como las de criticidad e indicación de prioridad. Al usar el endpoint /core/table/query, y usando una petición POST e indicando la etiqueta afectada con el parámetro tableUid y la operación con datas[query], es posible editar, crear y eliminar las siguientes etiquetas: Priority Indication, Quality Evaluation, Progress Margin and Priority. Además, también es posible exportar las etiquetas de criticidad con un usuario no privilegiado
Gravedad CVSS v3.1: BAJA
Última modificación:
12/07/2022

CVE-2021-46012

Fecha de publicación:
18/01/2022
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: none. Reason: This candidate was withdrawn by its CNA
Gravedad: Pendiente de análisis
Última modificación:
07/11/2023

Vulnerabilidad en Sourcecodester Free school management software (CVE-2021-46013)

Fecha de publicación:
18/01/2022
Idioma:
Español
Se presenta una vulnerabilidad de carga de archivos sin restricciones en Sourcecodester Free school management software versión 1.0. Un atacante puede aprovechar esta vulnerabilidad para permitir una ejecución de código remota en el servidor web afectado. Una vez que es subido un webshell php que contiene "(?php system($_GET["cmd"]); ?)" es guardado en el directorio /uploads/exam_question/, y es accesible por todos los usuarios
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/01/2022

Vulnerabilidad en BROM en las imágenes de Android para T210 proporcionadas por NVIDIA (CVE-2021-34404)

Fecha de publicación:
18/01/2022
Idioma:
Español
Las imágenes de Android para T210 proporcionadas por NVIDIA contienen una vulnerabilidad en BROM, donde la falta de limitación del acceso a AHB-DMA cuando BROM produce un fallo puede permitir que un atacante no privilegiado con acceso físico cause una denegación de servicio o afecte a la integridad y confidencialidad mas allá del alcance de seguridad de BROM
Gravedad CVSS v3.1: ALTA
Última modificación:
26/01/2022

Vulnerabilidad en las notificaciones de nuevas respuestas en los hilos de comentarios en Wagtail (CVE-2022-21683)

Fecha de publicación:
18/01/2022
Idioma:
Español
Wagtail es un sistema de administración de contenidos basado en Django y centrado en la flexibilidad y la experiencia del usuario. Cuando son enviadas notificaciones de nuevas respuestas en los hilos de comentarios, son enviados a todos los usuarios que han respondido o comentado en cualquier parte del sitio, en lugar de hacerlo sólo en los hilos correspondientes. Esto significa que un usuario puede escuchar las respuestas a nuevos comentarios en páginas a las que no presenta acceso de edición, siempre que haya dejado un comentario o respuesta en algún lugar del sitio. Ha sido publicada una versión parcheada como Wagtail 2.15.2, que restablece el comportamiento previsto: enviar notificaciones de nuevas respuestas sólo a participantes en el hilo activo (no es tomado en cuenta los permisos de edición). Los nuevos comentarios pueden deshabilitarse al establecer "WAGTAILADMIN_COMMENTS_ENABLED = False" en el archivo de configuración de Django
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/01/2022

Vulnerabilidad en NVHost en el controlador del kernel de NVIDIA Tegra (CVE-2021-34406)

Fecha de publicación:
18/01/2022
Idioma:
Español
El controlador del kernel de NVIDIA Tegra contiene una vulnerabilidad en NVHost, en la que una condición de carrera específica puede conllevar a una desreferencia de puntero null, lo que puede conllevar a un reinicio del sistema
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/01/2022

Vulnerabilidad en el parámetro vehicalorcview en Sourcecodester Car Rental Management System (CVE-2021-46005)

Fecha de publicación:
18/01/2022
Idioma:
Español
Sourcecodester Car Rental Management System versión 1.0, es vulnerable a un ataque de tipo Cross Site Scripting (XSS) por medio del parámetro vehicalorcview
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/01/2022

Vulnerabilidad en la función TEE_Malloc de TrustZone en las distribuciones Linux de NVIDIA (CVE-2021-34405)

Fecha de publicación:
18/01/2022
Idioma:
Español
Las distribuciones Linux de NVIDIA contienen una vulnerabilidad en la función TEE_Malloc de TrustZone, en la que un valor de retorno no comprobado que causa una desreferencia de puntero null puede conllevar a una denegación de servicio
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023