Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en algunos de los campos table en el plugin Ninja Tables de WordPress (CVE-2021-24900)
Fecha de publicación:
01/02/2022
Idioma:
Español
El plugin Ninja Tables de WordPress versiones anteriores a 4.1.8, no sanea ni escapa de algunos de sus campos table, que podría permitir a usuarios con altos privilegios llevar a cabo ataques de tipo Cross-Site Scripting incluso cuando la capacidad unfiltered_html está deshabilitada
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/03/2022

Vulnerabilidad en el parámetro rm_search_value en el plugin RegistrationMagic de WordPress (CVE-2021-24648)
Fecha de publicación:
01/02/2022
Idioma:
Español
El plugin RegistrationMagic de WordPress versiones anteriores a 5.0.1.9, no sanea ni escapa del parámetro rm_search_value antes de devolverlo a un atributo, conllevando a un ataque de tipo Cross-Site Scripting Reflejado
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2022

Vulnerabilidad en la configuración del token de identidad de Email PDT en el plugin Learning Courses de WordPress (CVE-2021-24707)
Fecha de publicación:
01/02/2022
Idioma:
Español
El plugin Learning Courses de WordPress versiones anteriores a 5.0, no sanea ni escapa de la configuración del token de identidad de Email PDT, lo que podría permitir a usuarios con altos privilegios llevar a cabo ataques de tipo Cross-Site Scripting incluso cuando la capacidad unfiltered_html no está permitida
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2022

Vulnerabilidad en la acción save_global_setting AJAX en el plugin Perfect Survey de WordPress (CVE-2021-24763)
Fecha de publicación:
01/02/2022
Idioma:
Español
El plugin Perfect Survey de WordPress versiones anteriores a 1.5.2, no dispone de la autorización apropiada ni de comprobaciones de tipo CSRF en la acción save_global_setting AJAX, permitiendo a usuarios no autenticados editar las encuestas y modificar la configuración. Dada la falta de saneo y escape en la configuración, esto también podría conllevar a un problema de tipo Cross-Site Scripting Almacenado que será ejecutado en el contexto de un usuario que visualice cualquier encuesta
Gravedad CVSS v3.1: ALTA
Última modificación:
04/02/2022

Vulnerabilidad en múltiples parámetros en el plugin Perfect Survey de WordPress (CVE-2021-24764)
Fecha de publicación:
01/02/2022
Idioma:
Español
El plugin Perfect Survey de WordPress versiones anteriores a 1.5.2, no sanea ni escapa de múltiples parámetros (id y filters[session_id] de la página single_statistics, type y message de la página importexport) antes de devolverlos a pages/attributes del panel de administración, conllevando a problemas de tipo Cross-Site Scripting Reflejado
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2022

Vulnerabilidad en el valor del encabezado X-Forwarded-For en el plugin Perfect Survey de WordPress (CVE-2021-24765)
Fecha de publicación:
01/02/2022
Idioma:
Español
El plugin Perfect Survey de WordPress versiones hasta 1.5.2, no comprueba ni escapa del valor del encabezado X-Forwarded-For antes de mostrarlo en la página de estadísticas cuando la configuración de Anonymize IP de una encuesta está deshabilitada, conllevando a un problema de tipo Cross-Site Scripting Almacenado
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2022

Vulnerabilidad en un endpoint REST en el plugin Document Embedder de WordPress (CVE-2021-24775)
Fecha de publicación:
01/02/2022
Idioma:
Español
El plugin Document Embedder de WordPress versiones anteriores a 1.7.5, contiene un endpoint REST, que podría permitir a usuarios no autenticados enumerar el título de publicaciones privadas y borradores arbitrarios
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2022

Vulnerabilidad en el parámetro wyp_page_type en el plugin Visual CSS Style Editor de WordPress (CVE-2021-24934)
Fecha de publicación:
01/02/2022
Idioma:
Español
El plugin Visual CSS Style Editor de WordPress versiones anteriores a 7.5.4, no sanea ni escapa del parámetro wyp_page_type antes de devolverlo en una página de administración, conllevando a un problema de tipo Cross-Site Scripting Reflejado
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2022

Vulnerabilidad en el parámetro domain en el plugin Domain Check de WordPress (CVE-2021-24926)
Fecha de publicación:
01/02/2022
Idioma:
Español
El plugin Domain Check de WordPress versiones anteriores a 1.0.17, no sanea ni escapa del parámetro domain antes de devolverlo a la página, conllevando a un problema de tipo Cross-Site Scripting Reflejado
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2022

Vulnerabilidad en el parámetro wpacu_selected_sub_tab_area en el plugin Asset CleanUp: Page Speed Booster de WordPress (CVE-2021-24937)
Fecha de publicación:
01/02/2022
Idioma:
Español
El plugin Asset CleanUp: Page Speed Booster de WordPress versiones anteriores a 1.3.8.5, no escapa del parámetro wpacu_selected_sub_tab_area antes de devolverlo en un atributo en una página de administración, conllevando a un problema de tipo Cross-Site Scripting Reflejado
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2022

Vulnerabilidad en el parámetro folder_id en el plugin Wicked Folders de WordPress (CVE-2021-24919)
Fecha de publicación:
01/02/2022
Idioma:
Español
El plugin Wicked Folders de WordPress versiones anteriores a 2.8.10, no sanea y escapa el parámetro folder_id antes de usarlo en una sentencia SQL en la acción wicked_folders_save_sort_order AJAX, disponible para cualquier usuario autenticado, conllevando a una inyección SQL
Gravedad CVSS v3.1: ALTA
Última modificación:
04/02/2022

Vulnerabilidad en un endpoint de acción AJAX en el plugin Document Embedder de WordPress (CVE-2021-24868)
Fecha de publicación:
01/02/2022
Idioma:
Español
El plugin Document Embedder de WordPress versiones anteriores a 1.7.9, contiene un endpoint de acción AJAX, que podría permitir a cualquier usuario autenticado, como el suscriptor, enumerar el título de publicaciones privadas y borradores arbitrarios
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/02/2022
Suscribirse a Vulnerabilidades