Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en vectores no especificados en la pantalla de Búsqueda en Movable Type (CVE-2021-20808)
Fecha de publicación:
26/08/2021
Idioma:
Español
Una vulnerabilidad de tipo cross-site scripting en la pantalla de Búsqueda de Movable Type (Movable Type 7 versiones r.4903 y anteriores (Movable Type 7 Series), Movable Type versiones 6.8.0 y anteriores (Movable Type 6 Series), Movable Type Advanced 7 versiones r.4903 y anteriores (Movable Type Advanced 7 Series), Movable Type Premium versiones 1.44 y anteriores, y Movable Type Premium Advanced versiones 1.44 y anteriores), permite a atacantes remotos inyectar script arbitrario o HTML por medio de vectores no especificados.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/09/2021

Vulnerabilidad en una DLL de tipo caballo de Troya en el instalador de Sony Audio USB Drivery y en el instalador de HAP Music Transfer (CVE-2021-20793)
Fecha de publicación:
26/08/2021
Idioma:
Español
Una vulnerabilidad de ruta de búsqueda no confiable en el instalador de Sony Audio USB Driver versiones V1.10 y anteriores y en el instalador de HAP Music Transfer versión Ver.1.3.0 y anteriores, permite a un atacante alcanzar privilegios y ejecutar código arbitrario por medio de una DLL de tipo caballo de Troya en un directorio no especificado.
Gravedad CVSS v3.1: ALTA
Última modificación:
01/09/2021

Vulnerabilidad en el archivo gd_gd2.c en la función gdImageGd2Ptr en GD Graphics Library (CVE-2021-40145)
Fecha de publicación:
26/08/2021
Idioma:
Español
** EN DISPUTA ** la función gdImageGd2Ptr en el archivo gd_gd2.c en GD Graphics Library (también se conoce como LibGD) hasta la versión 2.3.2, presenta una doble liberación. NOTA: la posición del proveedor es "The GD2 image format is a proprietary image format of libgd. It has to be regarded as being obsolete, and should only be used for development and testing purposes."
Gravedad CVSS v3.1: ALTA
Última modificación:
04/08/2024

Vulnerabilidad en Umbraco Forms (CVE-2021-37334)
Fecha de publicación:
25/08/2021
Idioma:
Español
Las versiones de Umbraco Forms 4.0.0 hasta la 8.7.5 e inferiores son vulnerables a un fallo de seguridad que podría dar lugar a un ataque de ejecución remota de código y/o eliminación arbitraria de archivos. La vulnerabilidad se produce porque la validación de la extensión del archivo se realiza después de que el archivo se haya almacenado en un directorio temporal. Por defecto, los archivos se almacenan dentro de la estructura de directorios de la aplicación en %BASEDIR%/APP_DATA/TEMP/FileUploads/. Aunque el acceso a este directorio está restringido por el archivo web.config raíz, es posible anular esta restricción cargando otro archivo web.config especialmente diseñado en el directorio temporal. Es posible explotar este fallo para subir un archivo de script malicioso para ejecutar código arbitrario y comandos del sistema en el servidor
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/11/2021

Vulnerabilidad en ForgeRock Access Management (AM) (CVE-2021-37154)
Fecha de publicación:
25/08/2021
Idioma:
Español
En ForgeRock Access Management (AM) versiones anteriores a 7.0.2, la implementación de SAML2 permite una inyección de XML, permitiendo potencialmente una aserción fraudulenta de SAML versión 2.0.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
01/09/2021

Vulnerabilidad en ForgeRock Access Management (AM) (CVE-2021-37153)
Fecha de publicación:
25/08/2021
Idioma:
Español
ForgeRock Access Management (AM) versiones anteriores a 7.0.2, cuando está configurado con Active Directory como Almacén de Identidades, presenta un problema de omisión de autenticación.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/07/2022

Vulnerabilidad en po-admin/route.php?mod=user&act=multidelete en PopojiCMS (CVE-2021-28070)
Fecha de publicación:
25/08/2021
Idioma:
Español
Se presenta una vulnerabilidad de tipo Cross Site Request Forgery (CSRF) en PopojiCMS versión 2.0.1, en po-admin/route.php?mod=user&act=multidelete.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/08/2021

Vulnerabilidad en las sesiones SSH en Cisco UCS Manager (CVE-2021-1592)
Fecha de publicación:
25/08/2021
Idioma:
Español
Una vulnerabilidad en la forma en que el software Cisco UCS Manager maneja las sesiones SSH podría permitir a un atacante remoto autenticado causar una condición de denegación de servicio (DoS) en un dispositivo afectado. Esta vulnerabilidad es debido a un manejo inapropiado de los recursos para las sesiones SSH establecidas. Un atacante podría explotar esta vulnerabilidad al abrir un número significativo de sesiones SSH en un dispositivo afectado. Una explotación con éxito podría permitir al atacante causar un bloqueo y reinicio de los procesos internos del software Cisco UCS Manager y una pérdida temporal de acceso a la CLI y la UI web de Cisco UCS Manager. Nota: El atacante debe tener credenciales de usuario válidas para autenticarse en el dispositivo afectado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en el envío de datos TCP en las configuraciones de red Multi-Pod o Multi-Site para Cisco Nexus 9000 Series Fabric Switches (CVE-2021-1586)
Fecha de publicación:
25/08/2021
Idioma:
Español
Una vulnerabilidad en las configuraciones de red Multi-Pod o Multi-Site para Cisco Nexus 9000 Series Fabric Switches en el modo Application Centric Infrastructure (ACI) podría permitir a un atacante remoto no autenticado reiniciar inesperadamente el dispositivo, resultando en una condición de denegación de servicio (DoS). Esta vulnerabilidad se presenta porque el tráfico TCP enviado a un puerto específico en un dispositivo afectado no se sanea apropiadamente. Un atacante podría explotar esta vulnerabilidad mediante el envío de datos TCP diseñados a un puerto específico que está escuchando en una dirección IP pública para la configuración de Multi-Pod o Multi-Site. Una explotación con éxito podría permitir al atacante causar que el dispositivo se reinicie inesperadamente, resultando en una condición de DoS.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en el envío de paquetes en la funcionalidad Operation, Administration, and Maintenance (OAM) de VXLAN del software Cisco NX-OS (CVE-2021-1587)
Fecha de publicación:
25/08/2021
Idioma:
Español
Una vulnerabilidad en la funcionalidad Operation, Administration, and Maintenance (OAM) de VXLAN del Software Cisco NX-OS, conocida como NGOAM, podría permitir a un atacante remoto no autenticado causar una condición de denegación de servicio (DoS) en un dispositivo afectado. Esta vulnerabilidad es debido al manejo inapropiado de paquetes específicos con un EtherType OAM de Interconexión Transparente de Lotes de Enlaces (TRILL). Un atacante podría explotar esta vulnerabilidad mediante el envío de paquetes diseñados, incluyendo el TRILL OAM EtherType de 0x8902, a un dispositivo que forma parte de un tejido VXLAN Ethernet VPN (EVPN). Una explotación con éxito podría permitir al atacante causar que un dispositivo afectado experimente un alto uso de la CPU y consuma excesivos recursos del sistema, lo que puede resultar en una inestabilidad general del plano de control y causar que el dispositivo afectado se recargue. Nota: La función NGOAM está deshabilitada por defecto.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en un paquete de eco-petición o eco-respuesta MPLS en la funcionalidad Operation, Administration, and Maintenance (OAM) de MPLS del software Cisco NX-OS (CVE-2021-1588)
Fecha de publicación:
25/08/2021
Idioma:
Español
Una vulnerabilidad en la funcionalidad Operation, Administration, and Maintenance (OAM) de MPLS del Software Cisco NX-OS, podría permitir a un atacante remoto no autenticado causar una condición de denegación de servicio (DoS) en un dispositivo afectado. Esta vulnerabilidad es debido a una comprobación inapropiada de la entrada cuando un dispositivo afectado está procesando un paquete de eco-petición o eco-respuesta MPLS. Un atacante podría explotar esta vulnerabilidad mediante el envío de paquetes maliciosos de eco-solicitud o eco-respuesta MPLS a una interfaz que esté habilitada para el reenvío MPLS en el dispositivo afectado. Una explotación con éxito podría permitir al atacante causar que el proceso de MPLS OAM se bloquee y se reinicie varias veces, causando que el dispositivo afectado se recargue y resultando en una condición de DoS.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en la implementación del comando system login block-for para el software Cisco NX-OS (CVE-2021-1590)
Fecha de publicación:
25/08/2021
Idioma:
Español
Una vulnerabilidad en la implementación del comando system login block-for para el Software Cisco NX-OS, podría permitir a un atacante remoto no autenticado causar que un proceso de inicio de sesión se reinicie inesperadamente, causando una condición de denegación de servicio (DoS). Esta vulnerabilidad es debido a un error lógico en la implementación del comando system login block-for cuando es detectado un ataque y se actúa en consecuencia. Un atacante podría aprovechar esta vulnerabilidad al llevar a cabo un ataque de inicio de sesión por fuerza bruta en un dispositivo afectado. Una explotación con éxito podría permitir al atacante causar una recarga del proceso de inicio de sesión, que podría resultar en un retraso durante la autenticación en el dispositivo afectado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023
Suscribirse a Vulnerabilidades