Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en una URL en LOGITEC LAN-W300N/RS (CVE-2021-20641)

Fecha de publicación:

12/02/2021

Idioma:

Español

Una vulnerabilidad de tipo cross-site request forgery (CSRF) en LOGITEC LAN-W300N/RS, permite a atacantes remotos secuestrar la autenticación de los administradores por medio de una URL especialmente diseñada.&#xa0;Como resultado, se pueden realizar operaciones no deseadas en el dispositivo, como cambios en la configuración del dispositivo

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/02/2022

Vulnerabilidad en vectores no especificados en LOGITEC LAN-W300N/PGRB (CVE-2021-20640)

Fecha de publicación:

12/02/2021

Idioma:

Español

Una vulnerabilidad de desbordamiento del búfer en LOGITEC LAN-W300N/PGRB, permite a un atacante con privilegios administrativos ejecutar un comando arbitrario del sistema operativo por medio de vectores no especificados

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en el envío de una URL en LOGITEC LAN-W300N/PR5B (CVE-2021-20637)

Fecha de publicación:

12/02/2021

Idioma:

Español

Una comprobación inapropiada o manejo de condiciones excepcionales en LOGITEC LAN-W300N/PR5B, permite a un atacante remoto causar una condición de denegación de servicio (DoS) al enviar una URL especialmente diseñada

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/05/2022

Vulnerabilidad en el envío de una URL en LOGITEC LAN-W300N/RS (CVE-2021-20642)

Fecha de publicación:

12/02/2021

Idioma:

Español

Una comprobación inapropiada o el manejo de condiciones excepcionales en LOGITEC LAN-W300N/RS, permite a un atacante remoto causar una condición de denegación de servicio (DoS) al enviar una URL especialmente diseñada

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/05/2022

Vulnerabilidad en el procesamiento de una petición en ELECOM LD-PS/U1 (CVE-2021-20643)

Fecha de publicación:

12/02/2021

Idioma:

Español

La vulnerabilidad de control de acceso inapropiado en ELECOM LD-PS/U1, permite a atacantes remotos cambiar la contraseña administrativa del dispositivo afectado al procesar una petición especialmente diseñada

Gravedad CVSS v3.1: ALTA

Última modificación:

12/07/2022

Vulnerabilidad en el código javascript en la respuesta HTML en PEEL SHOPPING (CVE-2021-27190)

Fecha de publicación:

12/02/2021

Idioma:

Español

Se detectó una vulnerabilidad de Cross Site Scripting(XSS) almacenada en PEEL SHOPPING versiones 9.3.0 y 9.4.0, que están disponibles públicamente. La entrada suministrada por el usuario que contiene la carga útil de políglota se devuelve en código javascript en la respuesta HTML. Esto permite a un atacante introducir código javascript malicioso que puede robar la cookie, redirigirla a otro sitio web malicioso, etc

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/12/2021

Vulnerabilidad en el manejo de objetos serializados proporcionados al endpoint EventCoordinator en Qognify Ocularis (CVE-2020-27868)

Fecha de publicación:

12/02/2021

Idioma:

Español

Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de Qognify Ocularis versión 5.9.0.395. No es requerida una autenticación para explotar esta vulnerabilidad. El fallo específico se presenta dentro del manejo de objetos serializados proporcionados al endpoint EventCoordinator. El problema resulta de una falta de comprobación apropiada de los datos suministrados por el usuario, lo que puede resultar en una deserialización de datos no confiables. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto de SYSTEM. Era ZDI-CAN-11257

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

26/03/2021

Vulnerabilidad en el método WriteToFile en SolarWinds Network Performance Monitor 2020 (CVE-2020-27869)

Fecha de publicación:

12/02/2021

Idioma:

Español

Esta vulnerabilidad permite a atacantes remotos escalar privilegios en las instalaciones afectadas de SolarWinds Network Performance Monitor 2020 HF1, NPM: versión 2020.2. Es requerida una autenticación para explotar esta vulnerabilidad. El fallo específico se presenta dentro del método WriteToFile. El problema resulta de una falta de comprobación apropiada de una cadena suministrada por el usuario antes de usarla para construir consultas SQL. Un atacante puede aprovechar esta vulnerabilidad para escalar privilegios y restablecer la contraseña del usuario administrador. Era ZDI-CAN-11804

Gravedad CVSS v3.1: ALTA

Última modificación:

26/03/2021

Vulnerabilidad en la utilidad UA_Parser en una opción de nombre de host en una petición DHCP en las instalaciones de los enrutadores NETGEAR Orbi (CVE-2020-27861)

Fecha de publicación:

12/02/2021

Idioma:

Español

Esta vulnerabilidad permite a atacantes adyacentes a la red ejecutar código arbitrario en las instalaciones afectadas de los enrutadores NETGEAR Orbi versión 2.5.1.16. No es requerida una autenticación para explotar esta vulnerabilidad. El fallo específico se presenta dentro de la utilidad UA_Parser. Una opción de nombre de host diseñada en una petición DHCP puede desencadenar la ejecución de una llamada de sistema compuesta a partir de una cadena suministrada por el usuario. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto de root. Era ZDI-CAN-11076

Gravedad CVSS v3.1: ALTA

Última modificación:

23/03/2021

Vulnerabilidad en el servicio dhttpd en el puerto TCP 8008 en los enrutadores D-Link DVA-2800 y DSL-2888A (CVE-2020-27863)

Fecha de publicación:

12/02/2021

Idioma:

Español

Esta vulnerabilidad permite a los atacantes adyacentes a la red revelar información sensible en las instalaciones afectadas de los routers D-Link DVA-2800 y DSL-2888A. No se requiere autenticación para explotar esta vulnerabilidad. El fallo específico existe en el servicio dhttpd, que escucha en el puerto TCP 8008 por defecto. El problema se debe a una lógica incorrecta de coincidencia de cadenas al acceder a páginas protegidas. Un atacante puede aprovechar esta situación para revelar las credenciales almacenadas, lo que llevaría a un mayor compromiso. Era ZDI-CAN-10912

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/04/2021

Vulnerabilidad en el servicio dhttpd en el puerto TCP 8008 en el parámetro path en los enrutadores D-Link DVA-2800 y DSL-2888A (CVE-2020-27862)

Fecha de publicación:

12/02/2021

Idioma:

Español

Esta vulnerabilidad permite a los atacantes adyacentes a la red ejecutar código arbitrario en las instalaciones afectadas de los routers D-Link DVA-2800 y DSL-2888A. No se requiere autenticación para explotar esta vulnerabilidad. El fallo específico existe en el servicio dhttpd, que escucha en el puerto TCP 8008 por defecto. Al analizar el parámetro de la ruta, el proceso no valida correctamente una cadena suministrada por el usuario antes de utilizarla para ejecutar una llamada al sistema. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del servidor web. Era ZDI-CAN-10911

Gravedad CVSS v3.1: ALTA

Última modificación:

23/04/2021

Vulnerabilidad en el servicio mini_httpd en el puerto TCP 80 en los enrutadores NETGEAR R6020, R6080, R6120, R6220, R6260, R6700v2, R6800, R6900v2, R7450, JNR3210, WNR2020, Nighthawk AC2100 y Nighthawk AC2400 (CVE-2020-27866)

Fecha de publicación:

12/02/2021

Idioma:

Español

Esta vulnerabilidad permite a los atacantes adyacentes a la red saltarse la autenticación en las instalaciones afectadas de los routers NETGEAR R6020, R6080, R6120, R6220, R6260, R6700v2, R6800, R6900v2, R7450, JNR3210, WNR2020, Nighthawk AC2100 y Nighthawk AC2400. No se requiere autenticación para explotar esta vulnerabilidad. El fallo específico existe en el servicio mini_httpd, que escucha en el puerto TCP 80 por defecto. El problema se debe a una lógica incorrecta de coincidencia de cadenas al acceder a páginas protegidas. Un atacante puede aprovechar esto junto con otras vulnerabilidades para ejecutar código en el contexto de root. Era ZDI-CAN-11355

Gravedad CVSS v3.1: ALTA

Última modificación:

26/03/2021

Suscribirse a Vulnerabilidades