Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en un archivo terraform en Bridgecrew Checkov de Prisma Cloud (CVE-2021-3040)

Fecha de publicación:
10/06/2021
Idioma:
Español
Una vulnerabilidad de deserialización insegura en Bridgecrew Checkov de Prisma Cloud permite la ejecución de código arbitrario al procesar un archivo terraform malicioso. Este problema afecta a las versiones de Checkov 2.0 anteriores a Checkov 2.0.139. Las versiones de Checkov 1.0 no se ven afectadas
Gravedad CVSS v3.1: ALTA
Última modificación:
21/06/2021

Vulnerabilidad en el directorio root en Palo Alto Networks Cortex XDR agent (CVE-2021-3041)

Fecha de publicación:
10/06/2021
Idioma:
Español
Se presenta una vulnerabilidad de escalada de privilegios local en el agente Palo Alto Networks Cortex XDR agent en plataformas Windows que permite a un usuario local de Windows autenticado ejecutar programas con privilegios SYSTEM. Esto requiere que el usuario tenga el privilegio de crear archivos en el directorio root de Windows o de manipular valores clave del registro. Este problema afecta: Cortex XDR agent versiones 5.0 versiones anteriores a Cortex XDR agent 5.0.11; Cortex XDR agent versiones 6.1 versiones anteriores a Cortex XDR agent 6.1.8; Cortex XDR agent versiones 7.2 versiones anteriores a Cortex XDR agent 7.2.3; Todas las versiones de Cortex XDR agent 7.2 sin la versión de actualización de contenidos 171 o una versión posterior
Gravedad CVSS v3.1: ALTA
Última modificación:
23/06/2021

Vulnerabilidad en un archivo de registro de depuración en la consola de computación en Palo Alto Networks Prisma Cloud (CVE-2021-3039)

Fecha de publicación:
10/06/2021
Idioma:
Español
Se presenta una vulnerabilidad de exposición de información mediante un archivo de registro en la consola de computación en Palo Alto Networks Prisma Cloud, donde un secreto utilizado para autorizar el rol del usuario autenticado se registra en un archivo de registro de depuración. Los usuarios autenticados con el rol de Operador y Auditor con acceso a los archivos de registro de depuración pueden usar este secreto para conseguir acceso al rol de Administrador para su sesión activa en Prisma Cloud Compute. Las versiones de Prisma Cloud Compute SaaS se actualizaron automáticamente a la versión corregida. Este problema afecta a todas las versiones de Prisma Cloud Compute anteriores a Prisma Cloud Compute 21.04.412
Gravedad CVSS v3.1: BAJA
Última modificación:
25/06/2021

Vulnerabilidad en "expand-hash" (CVE-2021-25948)

Fecha de publicación:
10/06/2021
Idioma:
Español
La vulnerabilidad de contaminación de prototipos en las versiones 0.1.0 a 1.0.1 de 'expand-hash' permite a un atacante provocar una denegación de servicio y puede llevar a la ejecución remota de código
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/06/2022

Vulnerabilidad en "set-getter" (CVE-2021-25949)

Fecha de publicación:
10/06/2021
Idioma:
Español
La vulnerabilidad de contaminación de prototipos en la versión 0.1.0 de 'set-getter' permite a un atacante causar una denegación de servicio y puede llevar a la ejecución remota de código
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/06/2022

Vulnerabilidad en el usuario hyperkitty o hyperkitty-admin en python-HyperKitty de openSUSE Leap (CVE-2021-25322)

Fecha de publicación:
10/06/2021
Idioma:
Español
Una vulnerabilidad de seguimiento de enlaces simbólicos UNIX (Symlink) en python-HyperKitty de openSUSE Leap 15.2, Factory permite a atacantes locales escalar privilegios del usuario hyperkitty o hyperkitty-admin a root. Este problema afecta a: openSUSE Leap 15.2 python-HyperKitty versión 1.3.2-lp152.2.3.1 y versiones anteriores. openSUSE Factory python-HyperKitty versiones anteriores a 1.3.4-5.1
Gravedad CVSS v3.1: ALTA
Última modificación:
22/06/2023

Vulnerabilidad en los usuarios postorius o postorius-admin en python-postorius de openSUSE Leap (CVE-2021-31997)

Fecha de publicación:
10/06/2021
Idioma:
Español
Una vulnerabilidad de enlace simbólico de UNIX (Symlink) en python-postorius de openSUSE Leap 15.2, Factory permite a los atacantes locales escalar desde los usuarios postorius o postorius-admin a root. Este problema afecta a: openSUSE Leap 15.2 python-postorius versión 1.3.2-lp152.1.2 y versiones anteriores. openSUSE Factory python-postorius versión 1.3.4-2.1 y versiones anteriores
Gravedad CVSS v3.1: ALTA
Última modificación:
14/10/2022

Vulnerabilidad en un producto de ZTE (CVE-2021-21735)

Fecha de publicación:
10/06/2021
Idioma:
Español
Un producto de ZTE tiene una vulnerabilidad de filtrado de información. Debido a una configuración inapropiada de los permisos, un atacante con permisos de usuario ordinarios podría explotar esta vulnerabilidad para obtener alguna información sensible del usuario mediante la página del asistente sin autenticación. Esto afecta al producto ZXHN H168N en todas las versiones hasta la V3.5.0_EG1T4_TE
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2021

Vulnerabilidad en la aplicación en la nube en un producto de cámara inteligente de ZTE (CVE-2021-21736)

Fecha de publicación:
10/06/2021
Idioma:
Español
Un producto de cámara inteligente de ZTE está afectado por una vulnerabilidad de control de permisos y acceso. Debido al defecto de la gestión de permisos de usuario por parte de la aplicación en la nube, los usuarios cuyos permisos de compartición han sido revocados pueden seguir controlando la cámara, como reiniciar la cámara, restaurar los ajustes de fábrica, etc. Esto afecta al producto ZXHN HS562 en las versiones V1.0.0.0B2.0000, V1.0.0B3.0000E
Gravedad CVSS v3.1: ALTA
Última modificación:
17/06/2021

Vulnerabilidad en el empaquetado de inn de SUSE Linux Enterprise Server, openSUSE Backports, openSUSE Leap (CVE-2021-31998)

Fecha de publicación:
10/06/2021
Idioma:
Español
Una vulnerabilidad de Permisos por Defecto Incorrectos en el empaquetado de inn de SUSE Linux Enterprise Server versión11-SP3; openSUSE Backports versión SLE-15-SP2, openSUSE Leap versión 15.2 permite a atacantes locales escalar sus privilegios del usuario de noticias a root. Este problema afecta a: SUSE Linux Enterprise Server versión 11-SP3 versión inn-2.4.2-170.21.3.1 y versiones anteriores. openSUSE Backports SLE-15-SP2 versiones inn anteriores a 2.6.2. openSUSE Leap 15.2 versiones inn anteriores a 2.6.2
Gravedad CVSS v3.1: ALTA
Última modificación:
24/06/2021

Vulnerabilidad en ManageEngine ServiceDesk Plus (CVE-2021-20081)

Fecha de publicación:
10/06/2021
Idioma:
Español
La lista incompleta de entradas no permitidas en ManageEngine ServiceDesk Plus versiones anteriores a 11205 permite a un atacante remoto y autenticado ejecutar comandos arbitrarios con privilegios SYSTEM
Gravedad CVSS v3.1: ALTA
Última modificación:
12/07/2022

Vulnerabilidad en el parámetro @javax.ws.rs.PathParam en RESTEasy (CVE-2021-20293)

Fecha de publicación:
10/06/2021
Idioma:
Español
Se ha encontrado un fallo de tipo Cross-Site Scripting (XSS) reflejado en RESTEasy en todas las versiones de RESTEasy hasta la 4.6.0.Final, donde no se manejaba apropiadamente la codificación de la URL cuando se llamaba al parámetro @javax.ws.rs.PathParam sin ningún parámetro @Produces MediaType. Este fallo permite a un atacante iniciar un ataque de tipo XSS reflejado. La mayor amenaza de esta vulnerabilidad es para la confidencialidad e integridad de los datos
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/09/2021