Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en "expand-hash" (CVE-2021-25948)

Fecha de publicación:
10/06/2021
Idioma:
Español
La vulnerabilidad de contaminación de prototipos en las versiones 0.1.0 a 1.0.1 de 'expand-hash' permite a un atacante provocar una denegación de servicio y puede llevar a la ejecución remota de código
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/06/2022

Vulnerabilidad en "set-getter" (CVE-2021-25949)

Fecha de publicación:
10/06/2021
Idioma:
Español
La vulnerabilidad de contaminación de prototipos en la versión 0.1.0 de 'set-getter' permite a un atacante causar una denegación de servicio y puede llevar a la ejecución remota de código
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/06/2022

Vulnerabilidad en el usuario hyperkitty o hyperkitty-admin en python-HyperKitty de openSUSE Leap (CVE-2021-25322)

Fecha de publicación:
10/06/2021
Idioma:
Español
Una vulnerabilidad de seguimiento de enlaces simbólicos UNIX (Symlink) en python-HyperKitty de openSUSE Leap 15.2, Factory permite a atacantes locales escalar privilegios del usuario hyperkitty o hyperkitty-admin a root. Este problema afecta a: openSUSE Leap 15.2 python-HyperKitty versión 1.3.2-lp152.2.3.1 y versiones anteriores. openSUSE Factory python-HyperKitty versiones anteriores a 1.3.4-5.1
Gravedad CVSS v3.1: ALTA
Última modificación:
22/06/2023

Vulnerabilidad en los usuarios postorius o postorius-admin en python-postorius de openSUSE Leap (CVE-2021-31997)

Fecha de publicación:
10/06/2021
Idioma:
Español
Una vulnerabilidad de enlace simbólico de UNIX (Symlink) en python-postorius de openSUSE Leap 15.2, Factory permite a los atacantes locales escalar desde los usuarios postorius o postorius-admin a root. Este problema afecta a: openSUSE Leap 15.2 python-postorius versión 1.3.2-lp152.1.2 y versiones anteriores. openSUSE Factory python-postorius versión 1.3.4-2.1 y versiones anteriores
Gravedad CVSS v3.1: ALTA
Última modificación:
14/10/2022

Vulnerabilidad en un producto de ZTE (CVE-2021-21735)

Fecha de publicación:
10/06/2021
Idioma:
Español
Un producto de ZTE tiene una vulnerabilidad de filtrado de información. Debido a una configuración inapropiada de los permisos, un atacante con permisos de usuario ordinarios podría explotar esta vulnerabilidad para obtener alguna información sensible del usuario mediante la página del asistente sin autenticación. Esto afecta al producto ZXHN H168N en todas las versiones hasta la V3.5.0_EG1T4_TE
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2021

Vulnerabilidad en la aplicación en la nube en un producto de cámara inteligente de ZTE (CVE-2021-21736)

Fecha de publicación:
10/06/2021
Idioma:
Español
Un producto de cámara inteligente de ZTE está afectado por una vulnerabilidad de control de permisos y acceso. Debido al defecto de la gestión de permisos de usuario por parte de la aplicación en la nube, los usuarios cuyos permisos de compartición han sido revocados pueden seguir controlando la cámara, como reiniciar la cámara, restaurar los ajustes de fábrica, etc. Esto afecta al producto ZXHN HS562 en las versiones V1.0.0.0B2.0000, V1.0.0B3.0000E
Gravedad CVSS v3.1: ALTA
Última modificación:
17/06/2021

Vulnerabilidad en el empaquetado de inn de SUSE Linux Enterprise Server, openSUSE Backports, openSUSE Leap (CVE-2021-31998)

Fecha de publicación:
10/06/2021
Idioma:
Español
Una vulnerabilidad de Permisos por Defecto Incorrectos en el empaquetado de inn de SUSE Linux Enterprise Server versión11-SP3; openSUSE Backports versión SLE-15-SP2, openSUSE Leap versión 15.2 permite a atacantes locales escalar sus privilegios del usuario de noticias a root. Este problema afecta a: SUSE Linux Enterprise Server versión 11-SP3 versión inn-2.4.2-170.21.3.1 y versiones anteriores. openSUSE Backports SLE-15-SP2 versiones inn anteriores a 2.6.2. openSUSE Leap 15.2 versiones inn anteriores a 2.6.2
Gravedad CVSS v3.1: ALTA
Última modificación:
24/06/2021

Vulnerabilidad en ManageEngine ServiceDesk Plus (CVE-2021-20081)

Fecha de publicación:
10/06/2021
Idioma:
Español
La lista incompleta de entradas no permitidas en ManageEngine ServiceDesk Plus versiones anteriores a 11205 permite a un atacante remoto y autenticado ejecutar comandos arbitrarios con privilegios SYSTEM
Gravedad CVSS v3.1: ALTA
Última modificación:
12/07/2022

Vulnerabilidad en el parámetro @javax.ws.rs.PathParam en RESTEasy (CVE-2021-20293)

Fecha de publicación:
10/06/2021
Idioma:
Español
Se ha encontrado un fallo de tipo Cross-Site Scripting (XSS) reflejado en RESTEasy en todas las versiones de RESTEasy hasta la 4.6.0.Final, donde no se manejaba apropiadamente la codificación de la URL cuando se llamaba al parámetro @javax.ws.rs.PathParam sin ningún parámetro @Produces MediaType. Este fallo permite a un atacante iniciar un ataque de tipo XSS reflejado. La mayor amenaza de esta vulnerabilidad es para la confidencialidad e integridad de los datos
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/09/2021

Vulnerabilidad en un documento SVG en el Cliente Web en Cerberus FTP Server Enterprise (CVE-2019-25046)

Fecha de publicación:
10/06/2021
Idioma:
Español
El Cliente Web en Cerberus FTP Server Enterprise versiones anteriores a 10.0.19 y 11.x versiones anteriores a 11.0.4 permite un XSS por medio de un documento SVG
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2021

Vulnerabilidad en la funcionalidad "undo archive operation" en el paquete thefuck (CVE-2021-34363)

Fecha de publicación:
10/06/2021
Idioma:
Español
El paquete thefuck (también se conoce como The Fuck) versiones anteriores a 3.31 para Python permite un Salto de Ruta que conlleva a la eliminación arbitraria de archivos por medio de la funcionalidad "undo archive operation"
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/11/2023

Vulnerabilidad en la configuración de la versión de Java en CubeCoders AMP (CVE-2021-34539)

Fecha de publicación:
10/06/2021
Idioma:
Español
Se ha detectado un problema en CubeCoders AMP versiones anteriores a 2.1.1.8. Una falta de comprobación de la configuración de la versión de Java significa que se puede establecer una ruta ejecutable no deseada. El resultado es que los usuarios con altos privilegios pueden desencadenar la ejecución de código
Gravedad CVSS v3.1: ALTA
Última modificación:
12/07/2022