Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la biblioteca TIFF_loader.dll en JT2Go, Teamcenter Visualization (CVE-2021-27390)

Fecha de publicación:
08/06/2021
Idioma:
Español
Se ha identificado una vulnerabilidad en JT2Go (Todas las versiones anteriores a V13.1.0.3), Teamcenter Visualization (Todas las versiones anteriores a V13.1.0.3). La biblioteca TIFF_loader.dll de las aplicaciones afectadas carece de una comprobación apropiada de los datos suministrados por el usuario cuando se analizan los archivos TIFF. Esto podría resultar a una escritura fuera de límites más allá del final de una estructura asignada. Un atacante podría aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. (ZDI-CAN-13131)
Gravedad CVSS v3.1: ALTA
Última modificación:
21/06/2021

Vulnerabilidad en GitLab CE/EE (CVE-2021-22216)

Fecha de publicación:
08/06/2021
Idioma:
Español
Una vulnerabilidad de denegación de servicio en GitLab CE/EE todas las versiones anteriores a 13.12.2, 13.11.5 o 13.10.5, permite a un atacante causar un consumo no controlado de recursos con una descripción de petición de emisión o fusión muy larga
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/06/2021

Vulnerabilidad en una petición GET en Vembu BDR Suite (CVE-2021-26472)

Fecha de publicación:
08/06/2021
Idioma:
Español
En VembuBDR antes de la versión 4.2.0.1 y VembuOffsiteDR antes de la versión 4.2.0.1 instalados en Windows, la API http ubicada en /consumerweb/secure/download.php. Usando este argumento de comando un atacante no autenticado puede ejecutar comandos arbitrarios del sistema operativo con privilegios de SYSTEM
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
06/04/2022

Vulnerabilidad en una petición GET en Vembu BDR Suite (CVE-2021-26473)

Fecha de publicación:
08/06/2021
Idioma:
Español
En VembuBDR antes de 4.2.0.1 y VembuOffsiteDR antes de 4.2.0.1 la API http ubicada en /sgwebservice_o.php action logFilePath permite a un atacante escribir archivos arbitrarios en el contexto del proceso del servidor web. Estos archivos pueden entonces ser ejecutados remotamente llamando al archivo a través del servidor web
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/04/2022

Vulnerabilidad en una petición GET en Vembu BDR Suite (CVE-2021-26471)

Fecha de publicación:
08/06/2021
Idioma:
Español
En VembuBDR antes de la versión 4.2.0.1 y VembuOffsiteDR antes de la versión 4.2.0.1, la API http ubicada en /sgwebservice_o.php acepta un argumento de comando. Usando este argumento de comando un atacante no autenticado puede ejecutar comandos de shell arbitrarios
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/04/2022

Vulnerabilidad en una petición GET en Vembu BDR Suite (CVE-2021-26474)

Fecha de publicación:
08/06/2021
Idioma:
Español
Varios productos de Vembu permiten a un atacante ejecutar una falsificación de petición de sitio cruzado (no ciega) (otros productos o versiones de productos de esta familia también pueden estar afectados)
Gravedad CVSS v3.1: ALTA
Última modificación:
29/04/2022

Vulnerabilidad en una petición de emisión o fusión en GitLab CE/EE (CVE-2021-22217)

Fecha de publicación:
08/06/2021
Idioma:
Español
Una vulnerabilidad de denegación de servicio en GitLab CE/EE todas las versiones anteriores a 13.12.2, 13.11.5 o 13.10.5, permite a un atacante causar un consumo incontrolado de recursos con una petición de emisión o fusión especialmente diseñada
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/07/2022

Vulnerabilidad en Nextcloud Android (CVE-2021-32658)

Fecha de publicación:
08/06/2021
Idioma:
Español
Nextcloud Android es el cliente Android para el sistema de nube doméstica de código abierto Nextcloud. Debido a un problema de tiempo de espera, el cliente de Android podría no limpiar apropiadamente todos los datos confidenciales al eliminar la cuenta. Esto podría incluir material clave confidencial como las claves de cifrado de Extremo a Extremo. Es recomendable actualizar la aplicación Android de Nextcloud a la versión 3.16.1
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/10/2022

Vulnerabilidad en los archivos de registro en GitLab CE/EE (CVE-2021-22219)

Fecha de publicación:
08/06/2021
Idioma:
Español
Todas las versiones de GitLab CE/EE a partir de la 9.5 antes de la 13.10.5, todas las versiones a partir de la 13.11 antes de la 13.11.5 y todas las versiones a partir de la 13.12 antes de la 13.12.2 permiten que un usuario con altos privilegios obtenga información sensible de los archivos de registro porque la información sensible no se registró correctamente para el enmascaramiento del registro
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/07/2022

Vulnerabilidad en la contraseña en varias operaciones en GitLab (CVE-2021-22221)

Fecha de publicación:
08/06/2021
Idioma:
Español
Se ha detectado un problema en GitLab que afecta a todas las versiones a partir de la versión 12.9.0 versiones anteriores a 13.10.5, a todas las versiones a partir de la versión 13.11.0 versiones anteriores a 13.11.5, a todas las versiones a partir de la versión 13.12.0 versiones anteriores a 13.12.2. Una comprobación insuficiente de la contraseña expirada en varias operaciones permite al usuario mantener un acceso limitado después de que su contraseña haya expirado
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/06/2021

Vulnerabilidad en un token de acceso Oauth en GitLab CE/EE (CVE-2021-22213)

Fecha de publicación:
08/06/2021
Idioma:
Español
Una vulnerabilidad de filtrado tipo cross-site en el flujo OAuth de todas las versiones de GitLab CE/EE desde versión 7.10, permitía a un atacante filtrar un token de acceso OAuth al hacer que la víctima visitara una página maliciosa con Safari
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/07/2022

Vulnerabilidad en un servidor PNS en el servicio de notificaciones push en Night Owl Smart Doorbell FW (CVE-2020-28713)

Fecha de publicación:
08/06/2021
Idioma:
Español
Un control de acceso incorrecto en el servicio de notificaciones push en Night Owl Smart Doorbell FW versión 20190505, permite a usuarios remotos enviar eventos de notificaciones push por medio de un servidor PNS expuesto. Un atacante remoto puede registrar de forma pasiva eventos de notificación push que se envían por medio de una petición web no segura. El servicio web no autentifica las peticiónes y permite a atacantes enviar una cantidad indefinida de eventos de movimiento o timbre a la aplicación móvil de un usuario, ya sea reproduciendo o diseñando deliberadamente eventos falsos
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/06/2021