Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el archivo /pages/processlogin.php en Sourcecodehero ERP System Project (CVE-2022-3118)

Fecha de publicación:

04/09/2022

Idioma:

Español

Se ha encontrado una vulnerabilidad en Sourcecodehero ERP System Project. Ha sido calificada como crítica. Este problema afecta a un procesamiento desconocido del archivo /pages/processlogin.php. La manipulación del argumento user conduce a una inyección sql. El ataque puede ser iniciado remotamente. La explotación ha sido revelada al público y puede ser usada. El identificador VDB-207845 fue asignado a esta vulnerabilidad

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/09/2022

Vulnerabilidad en el repositorio GitHub vim/vim (CVE-2022-3099)

Fecha de publicación:

03/09/2022

Idioma:

Español

Un Uso de Memoria Previamente Liberada en el repositorio GitHub vim/vim versiones anteriores a 9.0.0360

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

Vulnerabilidad en la función rfbClientCleanup() en libvncclient (CVE-2020-29260)

Fecha de publicación:

02/09/2022

Idioma:

Español

Se ha detectado que libvncclient versión v0.9.13, contiene una pérdida de memoria por medio de la función rfbClientCleanup()

Gravedad CVSS v3.1: ALTA

Última modificación:

05/10/2022

Vulnerabilidad en el parámetro id en /Home/debit_credit_p en Expense Management System (CVE-2022-36754)

Fecha de publicación:

02/09/2022

Idioma:

Español

Se ha detectado que Expense Management System versión v1.0, contiene una vulnerabilidad de inyección SQL por medio del parámetro id en /Home/debit_credit_p

Gravedad CVSS v3.1: ALTA

Última modificación:

17/04/2024

Vulnerabilidad en el archivo/appConfig/userDB.json del Nodo Omnia MPX de Telos Alliance (CVE-2022-36642)

Fecha de publicación:

02/09/2022

Idioma:

Español

Una vulnerabilidad de divulgación de archivos locales en /appConfig/userDB.json de Telos Alliance Omnia MPX Node a través de 1.0.0-1.4.9 permite a los atacantes acceder a las credenciales de los usuarios, lo que le hace capaz de obtener acceso inicial al panel de control con alto privilegio debido al almacenamiento en texto claro de la información sensible que puede ser desbloqueado mediante la explotación de la vulnerabilidad LFD

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/09/2022

Vulnerabilidad en el archivo source/common/header.cc:269 en la función parse_sequence_header() en PKUVCL davs2 (CVE-2022-36647)

Fecha de publicación:

02/09/2022

Idioma:

Español

Se ha detectado que PKUVCL davs2 versión v1.6.205, contiene un desbordamiento de búfer global por medio de la función parse_sequence_header() en el archivo source/common/header.cc:269

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/09/2022

Vulnerabilidad en Grafana Image Renderer (CVE-2022-31176)

Fecha de publicación:

02/09/2022

Idioma:

Español

Grafana Image Renderer es un plugin del backend de Grafana que es encargado de renderizar los paneles y cuadros de mando en PNGs utilizando un navegador headless (Chromium/Chrome). Una revisión de seguridad interna identificó una vulnerabilidad de divulgación de archivos no autorizada. Es posible que un usuario malicioso recupere archivos no autorizados bajo algunas condiciones de red o por medio de una fuente de datos falsa (si el usuario presenta permisos de administrador en Grafana). Todas las instalaciones de Grafana deberían actualizarse a versión 3.6.1 lo antes posible. Como mitigación es posible [deshabilitar el renderizado remoto HTTP](https://grafana.com/docs/grafana/latest/setup-grafana/configure-grafana/#plugingrafana-image-renderer)

Gravedad CVSS v3.1: ALTA

Última modificación:

24/07/2023

Vulnerabilidad en influxData influxDB (CVE-2022-36640)

Fecha de publicación:

02/09/2022

Idioma:

Español

influxData influxDB versiones anteriores a v1.8.10, no contiene ningún mecanismo o control de autenticación, lo que permite a atacantes no autenticados ejecutar comandos arbitrarios

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

03/08/2024

Vulnerabilidad en una carga útil en el parámetro name en el archivo /client.php de Garage Management System (CVE-2022-36639)

Fecha de publicación:

02/09/2022

Idioma:

Español

Una vulnerabilidad de tipo cross-site scripting (XSS) almacenado en el archivo /client.php de Garage Management System versión v1.0, permite a atacantes ejecutar scripts web o HTML arbitrarios por medio de una carga útil diseñada inyectada en el parámetro name

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/09/2022

Vulnerabilidad en el componente print.php de Garage Management System (CVE-2022-36638)

Fecha de publicación:

02/09/2022

Idioma:

Español

Un problema de control de acceso en el componente print.php de Garage Management System versión v1.0, permite a atacantes no autenticados acceder a los datos de todos los pedidos presentes

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/09/2022

Vulnerabilidad en Synapse (CVE-2022-31152)

Fecha de publicación:

02/09/2022

Idioma:

Español

Synapse es un servidor doméstico de Matrix de código abierto escrito y mantenido por la Fundación Matrix.org. La especificación de Matrix especifica una lista de [reglas de autorización de eventos](https://spec.matrix.org/v1.2/rooms/v9/#authorization-rules) que deben ser comprobadas cuando es determinado si un evento debe ser aceptado en una sala. En las versiones de Synapse hasta 1.61.0 incluyéndola, algunas de estas reglas no son aplicadas correctamente. Un atacante podría diseñar eventos que serían aceptados por Synapse pero no por un servidor conforme a las especificaciones, causando potencialmente una divergencia en el estado de la sala entre los servidores. Es recomendado a administradores de servidores domésticos con la federación activada que actualicen a versión 1.62.0 o superior. La federación puede ser deshabilitada al establecer ["federation_domain_whitelist"](https://matrix-org.github.io/synapse/latest/usage/configuration/config_documentation.html#federation_domain_whitelist) a una lista vacía ("[]") como una mitigación

Gravedad CVSS v3.1: ALTA

Última modificación:

09/09/2022

Vulnerabilidad en Databasir (CVE-2022-31196)

Fecha de publicación:

02/09/2022

Idioma:

Español

Databasir es una plataforma de administración de metadatos de bases de datos. Databasir versiones anteriores a 1.06 incluyéndola, presenta una vulnerabilidad de tipo Server-Side Request Forgery (SSRF). La SSRF es desencadenada mediante el envío de una **sola** petición HTTP POST para crear una base de datosType. Al suministrar un "jdbcDriverFileUrl" que devuelve un código de respuesta que no es "200", la url es ejecutada, la respuesta es registrada (tanto en el terminal como en la base de datos) y es incluido en la respuesta. Esto permitiría a un atacante obtener la dirección IP real y escanear la información de la Intranet. Este problema fue corregido en versión 1.0.7

Gravedad CVSS v3.1: ALTA

Última modificación:

08/09/2022

Suscribirse a Vulnerabilidades