Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en una grabación de Webex que se almacena en el Advanced Recording Format (ARF) o el Webex Recording Format (WRF) en Cisco Webex Network Recording Player para Microsoft Windows y Cisco Webex Player para Microsoft Windows (CVE-2020-3127)

Fecha de publicación:

04/03/2020

Idioma:

Español

Múltiples vulnerabilidades en Cisco Webex Network Recording Player para Microsoft Windows y Cisco Webex Player para Microsoft Windows, podrían permitir a un atacante ejecutar código arbitrario sobre un sistema afectado. Las vulnerabilidades son debido a una comprobación insuficiente de determinados elementos dentro de una grabación de Webex que se almacena en el Advanced Recording Format (ARF) o el Webex Recording Format (WRF). Un atacante podría explotar estas vulnerabilidades mediante el envío de un archivo ARF o WRF malicioso hacia un usuario por medio de un enlace o archivo adjunto de correo electrónico y persuadiendo al usuario para que abra el archivo en el sistema local. Una explotación con éxito podría permitir al atacante ejecutar código arbitrario en el sistema afectado con los privilegios del usuario apuntado.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/03/2020

Vulnerabilidad en petición GET rom-0 en el Control de Acceso en la interfaz de administración web de D-Link DSL-2680 (CVE-2019-19224)

Fecha de publicación:

04/03/2020

Idioma:

Español

Una vulnerabilidad de Control de Acceso Roto en la interfaz de administración web de D-Link DSL-2680 (versión de Firmware EU_1.03), permite a un atacante descargar la configuración (archivo binario) al enviar una petición GET rom-0 sin estar autenticado en la interfaz de administración.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/04/2023

Vulnerabilidad en una petición POST Forms/dns_1 en el Control de Acceso en la interfaz de administración web de D-Link DSL-2680 (CVE-2019-19225)

Fecha de publicación:

04/03/2020

Idioma:

Español

Una vulnerabilidad de Control de Acceso Roto en la interfaz de administración web de D-Link DSL-2680 (versión de Firmware EU_1.03), permite a un atacante cambiar los servidores DNS sin estar autenticado en la interfaz de administrador mediante el envío de una petición POST Forms/dns_1 diseñada.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/04/2023

Vulnerabilidad en una petición POST Forms/WlanMacFilter_1 en el Control de Acceso en la interfaz de administración web de D-Link DSL-2680 (CVE-2019-19226)

Fecha de publicación:

04/03/2020

Idioma:

Español

Una vulnerabilidad de Control de Acceso Roto en la interfaz de administración web de D-Link DSL-2680 (versión de Firmware EU_1.03), permite a un atacante habilitar o deshabilitar el filtrado de direcciones MAC al enviar una petición POST Forms/WlanMacFilter_1 diseñada sin estar autenticado en la interfaz de administración.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/04/2023

Vulnerabilidad en petición POST Forms/wireless_autonetwork_1 en la página de administración info.html en la interfaz de administración web de D-Link DSL-2680 (CVE-2019-19222)

Fecha de publicación:

04/03/2020

Idioma:

Español

Un problema de tipo XSS almacenado en la interfaz de administración web de D-Link DSL-2680 (versión de Firmware EU_1.03) permite a un atacante autenticado inyectar código JavaScript arbitrario en la página de administración info.html mediante el envío de una petición POST Forms/wireless_autonetwork_1 diseñada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/04/2023

Vulnerabilidad en una petición GET reboot.html en Control de Acceso Roto en la interfaz de administración web de D-Link DSL-2680 (CVE-2019-19223)

Fecha de publicación:

04/03/2020

Idioma:

Español

Una vulnerabilidad de Control de Acceso Roto en la interfaz de administración web de D-Link DSL-2680 (versión de Firmware EU_1.03) permite a un atacante reiniciar el enrutador al enviar una petición GET reboot.html sin ser autenticado en la interfaz de administración.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/04/2023

Vulnerabilidad en el controlador de metacontenedores en el componente Seomatic para Craft CMS (CVE-2020-9757)

Fecha de publicación:

04/03/2020

Idioma:

Español

El componente Seomatic versiones anteriores a 3.3.0 para Craft CMS permite una Inyección de tipo Server-Side Template y una divulgación de información por medio de datos malformados en el controlador de metacontenedores.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

26/04/2022

Vulnerabilidad en el Java RMI Server en UNCTAD ASYCUDA World (CVE-2020-9761)

Fecha de publicación:

04/03/2020

Idioma:

Español

Se detectó un problema en UNCTAD ASYCUDA World versiones 2001 hasta 2020. El Java RMI Server presenta una Configuración Predeterminada No Segura, conllevando a una Ejecución de Código Java desde una URL remota, porque es llamado un método RMI Distributed Garbage Collector.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

21/07/2021

Vulnerabilidad en el archivo tools/pass-change/result.php en phpIPAM (CVE-2020-7988)

Fecha de publicación:

04/03/2020

Idioma:

Español

Se detectó un problema en el archivo tools/pass-change/result.php en phpIPAM versión 1.4., un ataque de tipo CSRF puede ser usado para cambiar la contraseña de cualquier usuario/administrador, para escalar privilegios y para conseguir acceso a más datos y funcionalidad. Este problema se presenta debido a la falta de un requerimiento para proveer la antigua contraseña y a la falta de tokens de seguridad.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/03/2020

Vulnerabilidad en el archivo helpers/mailer.php en el parámetro creativecontactform_upload en la extension Creative Contact Form para Joomla! (CVE-2020-9364)

Fecha de publicación:

04/03/2020

Idioma:

Español

Se detectó un problema en el archivo helpers/mailer.php en la extension Creative Contact Form versiones anteriores a 4.6.2 hasta el 2019-12-03 para Joomla!. Una vulnerabilidad de salto de directorio reside en el campo filename para los archivos adjuntos cargados por medio del parámetro creativecontactform_upload. Un atacante podría explotar esta vulnerabilidad con la opción "Send me a copy" para recibir cualquiera de los archivos del sistema de archivos por medio del correo electrónico.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/10/2022

Vulnerabilidad en el uso de regex en sessionToken en la consulta NoSQL en parser-server (CVE-2020-5251)

Fecha de publicación:

04/03/2020

Idioma:

Español

En parser-server versiones anteriores a 4.1.0, pueden obtener todos los objetos de los usuarios, mediante el uso de regex en la consulta NoSQL. Usando el NoSQL, pueden usar un regex en sessionToken y encontrar cuentas válidas de esta manera.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/03/2020

Vulnerabilidad en el archivo sysdeps/ieee754/ldbl-96/e_rem_pio2l.c en una función long double en la biblioteca GNU C (CVE-2020-10029)

Fecha de publicación:

04/03/2020

Idioma:

Español

La biblioteca GNU C (también se conoce como glibc o libc6) versiones anteriores a 2.32, podría desbordar un búfer sobre la pila durante una reducción de alcance si una entrada a una función long double de 80 bits contiene un patrón de bits no canónico, como es visto cuando se pasa un valor 0x5d4141414141410000 hacia la función sinl sobre sistemas destino de x86. Esto está relacionado con el archivo sysdeps/ieee754/ldbl-96/e_rem_pio2l.c.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Suscribirse a Vulnerabilidades