Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Wire (CVE-2023-22737)
Fecha de publicación:
28/01/2023
Idioma:
Inglés
*** Pendiente de traducción *** wire-server provides back end services for Wire, a team communication and collaboration platform. Prior to version 2022-12-09, every member of a Conversation can remove a Bot from a Conversation due to a missing permissions check. Only Conversation admins should be able to remove Bots. Regular Conversations are not allowed to do so. The issue is fixed in wire-server 2022-12-09 and is already deployed on all Wire managed services. On-premise instances of wire-server need to be updated to 2022-12-09/Chart 4.29.0, so that their backends are no longer affected. There are no known workarounds.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/02/2023

Vulnerabilidad en Grafana (CVE-2022-23552)
Fecha de publicación:
27/01/2023
Idioma:
Español
Grafana es una plataforma de código abierto para monitoreo y observabilidad. A partir de la rama 8.1 y antes de las versiones 8.5.16, 9.2.10 y 9.3.4, Grafana tenía una vulnerabilidad XSS almacenada que afectaba al complemento principal GeoMap. La vulnerabilidad XSS almacenada fue posible porque los archivos SVG no se desinfectaron adecuadamente y permitieron la ejecución de JavaScript arbitrario en el contexto del usuario actualmente autorizado de la instancia de Grafana. Un atacante debe tener la función de Editor para cambiar un panel para incluir una URL externa a un archivo SVG que contenga JavaScript o usar el esquema `datos:` para cargar un archivo SVG en línea que contenga JavaScript. Esto significa que es posible una escalada de privilegios vertical, donde un usuario con rol de editor puede cambiar a una contraseña conocida para un usuario que tiene rol de administrador si el usuario con rol de administrador ejecuta JavaScript malicioso al ver un panel. Los usuarios pueden actualizar a la versión 8.5.16, 9.2.10 o 9.3.4 para recibir una solución.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en Grafana (CVE-2022-39324)
Fecha de publicación:
27/01/2023
Idioma:
Inglés
*** Pendiente de traducción *** Grafana is an open-source platform for monitoring and observability. Prior to versions 8.5.16 and 9.2.8, malicious user can create a snapshot and arbitrarily choose the `originalUrl` parameter by editing the query, thanks to a web proxy. When another user opens the URL of the snapshot, they will be presented with the regular web interface delivered by the trusted Grafana server. The `Open original dashboard` button no longer points to the to the real original dashboard but to the attacker’s injected URL. This issue is fixed in versions 8.5.16 and 9.2.8.
Gravedad CVSS v3.1: BAJA
Última modificación:
07/02/2023

CVE-2023-0047
Fecha de publicación:
27/01/2023
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: none. Reason: This candidate was in a CNA pool that was not assigned to any issues during 2023. Notes: none.
Gravedad: Pendiente de análisis
Última modificación:
07/11/2023

Vulnerabilidad en ContentStudio de WordPress (CVE-2023-0558)
Fecha de publicación:
27/01/2023
Idioma:
Español
El complemento ContentStudio para WordPress es vulnerable a la omisión de autorización debido a una verificación de token no segura que es susceptible de realizar malabarismos de tipos en versiones hasta la 1.2.5 incluida. Esto hace posible que atacantes no autenticados ejecuten funciones destinadas a usuarios con claves API adecuadas.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/04/2026

Vulnerabilidad en ContentStudio de WordPress (CVE-2023-0557)
Fecha de publicación:
27/01/2023
Idioma:
Español
El complemento ContentStudio para WordPress es vulnerable a la exposición de información confidencial en versiones hasta la 1.2.5 incluida. Esto podría permitir a atacantes no autenticados obtener un nonce necesario para la creación de publicaciones.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/04/2026

Vulnerabilidad en ContentStudio de WordPress (CVE-2023-0556)
Fecha de publicación:
27/01/2023
Idioma:
Español
El complemento ContentStudio para WordPress es vulnerable a la omisión de autorización debido a una falta de verificación de capacidad en varias funciones en versiones hasta la 1.2.5 incluida. Esto hace posible que atacantes no autenticados obtengan los metadatos del blog (a través de la función cstu_get_metadata) que incluye el contentstudio_token del complemento. Conocer este token permite otras interacciones con el complemento, como crear publicaciones en versiones anteriores a la 1.2.5, lo que agregó otros requisitos para la publicación y actualización.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/04/2026

Vulnerabilidad en GitLab EE (CVE-2022-4255)
Fecha de publicación:
27/01/2023
Idioma:
Inglés
*** Pendiente de traducción *** An info leak issue was identified in all versions of GitLab EE from 13.7 prior to 15.4.6, 15.5 prior to 15.5.5, and 15.6 prior to 15.6.1 which exposes user email id through webhook payload.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/02/2023

Vulnerabilidad en Italtel NetMatch-S CI 5.2.0-20211008 (CVE-2022-39813)
Fecha de publicación:
27/01/2023
Idioma:
Español
Italtel NetMatch-S CI 5.2.0-20211008 sufre de múltiples problemas XSS reflejados/almacenados en NMSCIWebGui/j_security_check a través del parámetro j_username, o NMSCIWebGui/actloglineview.jsp a través del parámetro nombre o actLine. Un atacante que aproveche esta vulnerabilidad podría inyectar JavaScript arbitrario. El payload se activará cada vez que un usuario autenticado navegue por la página que la contiene.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/03/2025

Vulnerabilidad en Pandora FMS (CVE-2022-43979)
Fecha de publicación:
27/01/2023
Idioma:
Español
Existe un Path Traversal que conduce a una Inclusión de Archivos Locales en Pandora FMS v764. Se llama a una función para comprobar que el parámetro que el usuario ha insertado no contiene caracteres maliciosos, pero esta comprobación es insuficiente. Un atacante podría insertar una ruta absoluta para superar la comprobación, pudiendo así incluir cualquier fichero PHP que resida en el disco. La explotación de esta vulnerabilidad podría conducir a una ejecución remota de código.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
06/02/2023

Vulnerabilidad en Italtel NetMatch-S CI 5.2.0-20211008 (CVE-2022-39812)
Fecha de publicación:
27/01/2023
Idioma:
Español
Italtel NetMatch-S CI 5.2.0-20211008 permite el recorrido de ruta absoluto en NMSCI-WebGui/SaveFileUploader. Un usuario no autenticado puede cargar archivos en una ruta arbitraria. Un atacante puede cambiar el parámetro uploadDir en una solicitud POST (no es posible usando la GUI) a un directorio arbitrario. Debido a que la aplicación no verifica en qué directorio se cargará un archivo, un atacante puede realizar una variedad de ataques que pueden resultar en un acceso no autorizado al servidor.
Gravedad CVSS v3.1: ALTA
Última modificación:
28/03/2025

Vulnerabilidad en Revenue Collection System v1.0 (CVE-2022-46968)
Fecha de publicación:
27/01/2023
Idioma:
Español
Una vulnerabilidad de cross-site scripting (XSS) almacenado en /index.php?page=help de Revenue Collection System v1.0 permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado en los mensajes enviados.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2025
Suscribirse a Vulnerabilidades