Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2020-8375

Fecha de publicación:
13/04/2021
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: none. Reason: This candidate was withdrawn by its CNA. Notes: none
Gravedad: Pendiente de análisis
Última modificación:
07/11/2023

Vulnerabilidad en Xerox AltaLink B8045/B8055/B8065/B8075/B8090, AltaLink C8030/C8035/C8045/C8055/C8070 (CVE-2019-10881)

Fecha de publicación:
13/04/2021
Idioma:
Español
Xerox AltaLink B8045/B8055/B8065/B8075/B8090, AltaLink C8030/C8035/C8045/C8055/C8070 con versiones de software anteriores a 103.xxx.030.32000, incluye dos cuentas con contraseñas embebidas que pueden ser explotadas y permiten el acceso no autorizado que no puede ser deshabilitado
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
23/04/2021

CVE-2020-8358

Fecha de publicación:
13/04/2021
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: none. Reason: This candidate was withdrawn by its CNA. Notes: none
Gravedad: Pendiente de análisis
Última modificación:
07/11/2023

Vulnerabilidad en la biblioteca /WEB-INF/lib/common.php.lib en la función ttMitigateCSRF en Anuko Time Tracker en PHP (CVE-2021-29436)

Fecha de publicación:
13/04/2021
Idioma:
Español
Anuko Time Tracker es una aplicación de seguimiento del tiempo de código abierto basada en web escrita en PHP. En Time Tracker versiones anteriores a 1.19.27.5431, se presentaba una vulnerabilidad de tipo Cross site request forgery (CSRF). La naturaleza de CSRF es que un usuario que ha iniciado sesión puede ser engañado por ingeniería social para que haga clic en un formulario proporcionado por un atacante que ejecuta una acción no prevista, tal y como cambiar la contraseña del usuario. La vulnerabilidad se corrigió en la versión 1.19.27.5431 de Time Tracker. Una actualización es recomendada. Si la actualización no es práctica, introduzca la función ttMitigateCSRF() en la biblioteca /WEB-INF/lib/common.php.lib usando el último código disponible y llámelo desde la función ttAccessAllowed()
Gravedad CVSS v3.1: ALTA
Última modificación:
26/04/2021

Vulnerabilidad en la entrada de texto en la biblioteca de diálogo de Nextcloud (paquete npm @nextcloud/dialogs) (CVE-2021-29438)

Fecha de publicación:
13/04/2021
Idioma:
Español
La biblioteca de diálogos de Nextcloud (paquete npm @nextcloud/dialogs) versiones anteriores a 3.1.2, la entrada de texto con un escape insuficiente se pasó a un toast. Si su aplicación muestra toast con información suministrada por un usuario, esto podría conllevar a una vulnerabilidad de tipo XSS. La vulnerabilidad ha sido parcheada en la versión 3.1.2. Si necesita mostrar HTML en el toast pase explícitamente el flag de configuración "options.isHTML"
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en los usuarios con permiso "admin.login" en el plugin de administración de Grav (CVE-2021-29439)

Fecha de publicación:
13/04/2021
Idioma:
Español
El plugin de administración de Grav anterior a versión 1.10.11, no verifica correctamente los privilegios de la persona que llama. Como consecuencia, los usuarios con el permiso "admin.login" pueden instalar plugins de terceros y sus dependencias. Al instalar el plugin correcto, un atacante puede obtener una primitiva ejecución de código arbitraria y elevar sus privilegios en la instancia. La vulnerabilidad ha sido solucionada en la versión 1.10.11. Como mitigación, el bloqueo del acceso a la ruta "/admin" desde fuentes no confiables reducirá la probabilidad de explotación
Gravedad CVSS v3.1: ALTA
Última modificación:
06/11/2023

Vulnerabilidad en el procesamiento de Twig de páginas estáticas en Grav (CVE-2021-29440)

Fecha de publicación:
13/04/2021
Idioma:
Español
Grav es una plataforma web basada en archivos. El procesamiento de Twig de páginas estáticas puede ser habilitado en la materia inicial por cualquier usuario administrativo autorizado para crear o editar páginas. Como el procesador Twig se ejecuta sin sandbox, este comportamiento puede ser usado para obtener una ejecución de código arbitraria y elevar los privilegios en la instancia. El problema se solucionó en la versión 1.7.11
Gravedad CVSS v3.1: ALTA
Última modificación:
09/11/2022

Vulnerabilidad en ScratchOAuth2 (CVE-2021-29437)

Fecha de publicación:
13/04/2021
Idioma:
Español
ScratchOAuth2 es una implementación de Oauth para Scratch. Cualquier dato relacionado con ScratchOAuth2 normalmente accesible y modificable por un usuario puede ser leído y modificado por un tercero. 1. El usuario de Scratch visita un sitio de terceros. 2. El sitio de terceros solicita al usuario el nombre de usuario de Scratch. 3. El sitio de terceros pretende ser un usuario y obtiene el código de inicio de sesión de ScratchOAuth2. 4. El sitio de terceros proporciona un código al usuario y le indica que lo publique en su perfil. 5. El usuario publica el código en su perfil, sin saber que es un código de inicio de sesión de ScratchOAuth2. 6. El sitio de terceros completa el inicio de sesión con ScratchOAuth2. 7. El sitio de terceros tiene acceso completo a cualquier cosa que el usuario pueda hacer si inicia sesión directamente. Consulte el aviso de seguridad de GitHub al que se hace referencia para ver notas de parches y soluciones
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/06/2023

Vulnerabilidad en Visual Studio Code de Microsoft (CVE-2021-28475)

Fecha de publicación:
13/04/2021
Idioma:
Español
Una vulnerabilidad de Ejecución de Código Remota de Visual Studio Code. Este ID de CVE es diferente de CVE-2021-28457, CVE-2021-28469, CVE-2021-28473, CVE-2021-28477
Gravedad CVSS v3.1: ALTA
Última modificación:
29/12/2023

Vulnerabilidad en Visual Studio Code de Microsoft (CVE-2021-28477)

Fecha de publicación:
13/04/2021
Idioma:
Español
Una vulnerabilidad de Ejecución de Código Remota de Visual Studio Code. Este ID de CVE es diferente de CVE-2021-28457, CVE-2021-28469, CVE-2021-28473, CVE-2021-28475
Gravedad CVSS v3.1: ALTA
Última modificación:
29/12/2023

Vulnerabilidad en la creación de un formulario en plugin de autenticación para el framework de administración en trestle-auth (CVE-2021-29435)

Fecha de publicación:
13/04/2021
Idioma:
Español
trestle-auth es un plugin de autenticación para el framework de administración de Trestle. Una vulnerabilidad en trestle-auth versiones 0.4.0 y 0.4.1, permite a un atacante crear un formulario que omitirá la protección CSRF incorporada de Rails cuando lo envíe una víctima con una sesión de administración de trestle-auth. Esto potencialmente permite a un atacante alterar los datos protegidos, incluyendo las credenciales de la cuenta de administrador. La vulnerabilidad ha sido corregida en trestle-auth versión 0.4.2, publicada en RubyGems
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/04/2021

Vulnerabilidad en Visual Studio Code de Microsoft (CVE-2021-28473)

Fecha de publicación:
13/04/2021
Idioma:
Español
Una vulnerabilidad de Ejecución de Código Remota de Visual Studio Code. Este ID de CVE es diferente de CVE-2021-28457, CVE-2021-28469, CVE-2021-28475, CVE-2021-28477
Gravedad CVSS v3.1: ALTA
Última modificación:
29/12/2023