Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en una API de la función Call Bridge de Cisco Meeting Server (CVE-2021-40122)

Fecha de publicación:

21/10/2021

Idioma:

Español

Una vulnerabilidad en una API de la función Call Bridge de Cisco Meeting Server podría permitir a un atacante remoto no autenticado causar una condición de denegación de servicio (DoS). Esta vulnerabilidad es debido al manejo inapropiado de grandes series de peticiones de mensajes. Un atacante podría aprovechar esta vulnerabilidad mediante el envío de una serie de mensajes a la API vulnerable. Una explotación con éxito podría permitir al atacante causar la recarga del dispositivo afectado, dejando caer todas las llamadas en curso y resultando en una condición de DoS

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en la interfaz de administración basada en web de Cisco Identity Services Engine (ISE) Software (CVE-2021-40121)

Fecha de publicación:

21/10/2021

Idioma:

Español

Varias vulnerabilidades en la interfaz de administración basada en web de Cisco Identity Services Engine (ISE) Software podrían permitir a un atacante conducir un ataque de tipo cross-site scripting (XSS) contra un usuario de la interfaz. Para obtener más información sobre estas vulnerabilidades, consulte la sección Detalles de este aviso

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en la interfaz de administración basada en web de Cisco Tetration (CVE-2021-34789)

Fecha de publicación:

21/10/2021

Idioma:

Español

Una vulnerabilidad en la interfaz de administración basada en web de Cisco Tetration podría permitir a un atacante remoto autenticado llevar a cabo un ataque de tipo cross-site scripting (XSS) almacenado en un sistema afectado. Esta vulnerabilidad se presenta porque la interfaz de administración basada en web no comprueba suficientemente la entrada proporcionada por el usuario. Un atacante podría explotar esta vulnerabilidad al inyectar código malicioso en páginas específicas de la interfaz. Una explotación con éxito podría permitir al atacante ejecutar código script arbitrario en el contexto de la interfaz afectada o acceder a información confidencial basada en el navegador. Para explotar esta vulnerabilidad, el atacante necesitaría credenciales administrativas válidas

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en la interfaz de administración basada en web de Cisco TelePresence Management Suite (TMS) Software (CVE-2021-34760)

Fecha de publicación:

21/10/2021

Idioma:

Español

Una vulnerabilidad en la interfaz de administración basada en web de Cisco TelePresence Management Suite (TMS) Software podría permitir a un atacante remoto autenticado conducir un ataque de tipo cross-site scripting (XSS) contra un usuario de la interfaz. Esta vulnerabilidad es debido a que la interfaz de administración basada en web no comprueba suficientemente las entradas. Un atacante podría explotar esta vulnerabilidad al insertar datos maliciosos en un campo de datos específico de la interfaz. Una explotación con éxito podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz afectada o acceder a información confidencial basada en el navegador

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/10/2021

Vulnerabilidad en Atlassian Jira Server y Data Center (CVE-2021-39127)

Fecha de publicación:

21/10/2021

Idioma:

Español

Unas versiones afectadas de Atlassian Jira Server y Data Center permiten a atacantes remotos anónimos al componente de consulta JQL endpoint por medio de una vulnerabilidad de Control de Acceso Roto (BAC). Las versiones afectadas son anteriores a la versión 8.5.10, y desde la versión 8.6.0 hasta 8.13.1

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/10/2024

Vulnerabilidad en la interfaz de administración basada en web de Cisco Integrated Management Controller (IMC) Software (CVE-2021-34736)

Fecha de publicación:

21/10/2021

Idioma:

Español

Una vulnerabilidad en la interfaz de administración basada en web de Cisco Integrated Management Controller (IMC) Software podría permitir a un atacante remoto no autenticado causar el reinicio inesperado de la interfaz de administración basada en web. La vulnerabilidad es debido a que la interfaz de administración basada en web no comprueba suficientemente las entradas. Un atacante podría aprovechar esta vulnerabilidad mediante el envío de una petición HTTP diseñada a un dispositivo afectado. Una explotación con éxito podría permitir al atacante causar el reinicio de la interfaz, resultando en una condición de denegación de servicio (DoS)

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en la interfaz de administración basada en web de Cisco Identity Services Engine (ISE) Software (CVE-2021-34738)

Fecha de publicación:

21/10/2021

Idioma:

Español

Múltiples vulnerabilidades en la interfaz de administración basada en web Cisco Identity Services Engine (ISE) Software podrían permitir a un atacante conducir un ataque de tipo cross-site scripting (XSS) contra un usuario de la interfaz. Para obtener más información sobre estas vulnerabilidades, consulte la sección Detalles de este aviso

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en la funcionalidad application integration de Cisco Webex Software (CVE-2021-34743)

Fecha de publicación:

21/10/2021

Idioma:

Español

Una vulnerabilidad en la funcionalidad application integration de Cisco Webex Software podría permitir a un atacante remoto no autenticado autorizar a una aplicación externa a integrarse y acceder a la cuenta de un usuario sin el consentimiento expreso de éste. Esta vulnerabilidad es debido a una comprobación inapropiada los tokens de tipo cross-site request forgery (CSRF). Un atacante podría explotar esta vulnerabilidad al convencer a un usuario objetivo que esté autenticado en el software Cisco Webex para que siga un enlace diseñado para pasar una entrada maliciosa a la interfaz de autorización de la aplicación del software Cisco Webex. Una explotación con éxito podría permitir al atacante causar que Cisco Webex Software autorice una aplicación en nombre del usuario sin el consentimiento expreso de éste, permitiendo posiblemente que aplicaciones externas lean datos del perfil de ese usuario

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en la CLI del sistema de Cisco IOS XE SD-WAN Software (CVE-2021-1529)

Fecha de publicación:

21/10/2021

Idioma:

Español

Una vulnerabilidad en la CLI de Cisco IOS XE SD-WAN Software podría permitir a un atacante local autenticado ejecutar comandos arbitrarios con privilegios de root. La vulnerabilidad es debido a una comprobación insuficiente de entradas por parte de la CLI del sistema. Un atacante podría aprovechar esta vulnerabilidad al autenticarse en un dispositivo afectado y enviando entradas diseñadas a la CLI del sistema. Una explotación con éxito podría permitir al atacante ejecutar comandos en el sistema operativo subyacente con privilegios de root

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en un determinado valor de csrf_token en GNU Mailman (CVE-2021-42096)

Fecha de publicación:

21/10/2021

Idioma:

Español

GNU Mailman versiones anteriores a 2.1.35, puede permitir una Escalada de Privilegios remota. Un determinado valor de csrf_token es derivado de la contraseña del administrador, y puede ser útil para llevar a cabo un ataque de fuerza bruta contra esa contraseña

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en un valor csrf_token en GNU Mailman (CVE-2021-42097)

Fecha de publicación:

21/10/2021

Idioma:

Español

GNU Mailman versiones anteriores a 2.1.35, puede permitir una escalada de privilegios remota. Un valor csrf_token no es específico de una sola cuenta de usuario. Un atacante puede obtener un valor dentro del contexto de una cuenta de usuario sin privilegios, y luego usar ese valor en un ataque de tipo CSRF contra un administrador (por ejemplo, para la toma de posesión de la cuenta)

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en los valores de subscribe_url en Discourse (CVE-2021-41163)

Fecha de publicación:

20/10/2021

Idioma:

Español

Discourse es una plataforma de código abierto para el debate comunitario. En las versiones afectadas, las peticiones diseñadas de forma maliciosa podían conllevar a una ejecución de código remota . Esto se debía a una falta de comprobación en los valores de subscribe_url. Este problema está parcheado en las últimas versiones estables, beta y de prueba de Discourse. Para solucionar el problema sin necesidad de actualizar, las peticiones con una ruta que empiece por /webhooks/aws podrían bloquearse en un proxy de subida

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/10/2022

Suscribirse a Vulnerabilidades