Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la biblioteca ugeom2d.dll en los archivos DFT en Solid Edge SE2020 y Solid Edge SE2021 (CVE-2021-31342)

Fecha de publicación:
08/06/2021
Idioma:
Español
La biblioteca ugeom2d.dll en todas las versiones de Solid Edge SE2020 antes de 2020MP14 y todas las versiones de Solid Edge SE2021 antes de SE2021MP5 carecen de la validación adecuada de los datos suministrados por el usuario al analizar los archivos DFT. Esto podría dar lugar a una escritura fuera de los límites más allá del final de una estructura asignada. Un atacante podría aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual
Gravedad CVSS v3.1: ALTA
Última modificación:
21/09/2021

Vulnerabilidad en el visualizador de blob de cuadernos en GitLab (CVE-2021-22220)

Fecha de publicación:
08/06/2021
Idioma:
Español
Se ha detectado un problema en GitLab que afecta a todas las versiones a partir de la versión 13.10. GitLab era vulnerable a un ataque de tipo XSS almacenado en el visualizador de blob de cuadernos
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/12/2021

Vulnerabilidad en los archivos FEMAP en la aplicación femap.exe en Simcenter Femap (CVE-2021-27399)

Fecha de publicación:
08/06/2021
Idioma:
Español
Se ha identificado una vulnerabilidad en Simcenter Femap versiones 2020.2 (Todas las versiones anteriores a V2020.2.MP3), Simcenter Femap versiones 2021.1 (Todas las versiones anteriores a V2021.1.MP3). La aplicación femap.exe carece de una comprobación apropiada de los datos suministrados por el usuario cuando se analizan los archivos FEMAP. Esto podría resultar en una escritura fuera de límites más allá del final de una estructura asignada, una vulnerabilidad diferente de CVE-2021-27387. Un atacante podría aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. (ZDI-CAN-12820)
Gravedad CVSS v3.1: ALTA
Última modificación:
02/12/2021

Vulnerabilidad en los archivos FEMAP en la aplicación femap.exe en Simcenter Femap (CVE-2021-27387)

Fecha de publicación:
08/06/2021
Idioma:
Español
Se ha identificado una vulnerabilidad en Simcenter Femap versiones 2020.2 (Todas las versiones anteriores a V2020.2.MP3), Simcenter Femap versiones 2021.1 (Todas las versiones anteriores a V2021.1.MP3). La aplicación femap.exe carece de una comprobación apropiada de los datos suministrados por el usuario cuando se analizan los archivos FEMAP. Esto podría resultar en una escritura fuera de límites más allá del final de una estructura asignada, una vulnerabilidad diferente a la CVE-2021-27399. Un atacante podría aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. (ZDI-CAN-12819)
Gravedad CVSS v3.1: ALTA
Última modificación:
02/12/2021

Vulnerabilidad en GraphQL en SilverStripe (CVE-2020-26136)

Fecha de publicación:
08/06/2021
Idioma:
Español
En SilverStripe versiones hasta 4.6.0-rc1, GraphQL no respecta MFA (multi-factor authentication) cuando se usa la autenticación básica
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/06/2021

Vulnerabilidad en la biblioteca TIFF_loader.dll en JT2Go, Teamcenter Visualization (CVE-2021-27390)

Fecha de publicación:
08/06/2021
Idioma:
Español
Se ha identificado una vulnerabilidad en JT2Go (Todas las versiones anteriores a V13.1.0.3), Teamcenter Visualization (Todas las versiones anteriores a V13.1.0.3). La biblioteca TIFF_loader.dll de las aplicaciones afectadas carece de una comprobación apropiada de los datos suministrados por el usuario cuando se analizan los archivos TIFF. Esto podría resultar a una escritura fuera de límites más allá del final de una estructura asignada. Un atacante podría aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. (ZDI-CAN-13131)
Gravedad CVSS v3.1: ALTA
Última modificación:
21/06/2021

Vulnerabilidad en GitLab CE/EE (CVE-2021-22216)

Fecha de publicación:
08/06/2021
Idioma:
Español
Una vulnerabilidad de denegación de servicio en GitLab CE/EE todas las versiones anteriores a 13.12.2, 13.11.5 o 13.10.5, permite a un atacante causar un consumo no controlado de recursos con una descripción de petición de emisión o fusión muy larga
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/06/2021

Vulnerabilidad en una petición GET en Vembu BDR Suite (CVE-2021-26472)

Fecha de publicación:
08/06/2021
Idioma:
Español
En VembuBDR antes de la versión 4.2.0.1 y VembuOffsiteDR antes de la versión 4.2.0.1 instalados en Windows, la API http ubicada en /consumerweb/secure/download.php. Usando este argumento de comando un atacante no autenticado puede ejecutar comandos arbitrarios del sistema operativo con privilegios de SYSTEM
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
06/04/2022

Vulnerabilidad en una petición GET en Vembu BDR Suite (CVE-2021-26473)

Fecha de publicación:
08/06/2021
Idioma:
Español
En VembuBDR antes de 4.2.0.1 y VembuOffsiteDR antes de 4.2.0.1 la API http ubicada en /sgwebservice_o.php action logFilePath permite a un atacante escribir archivos arbitrarios en el contexto del proceso del servidor web. Estos archivos pueden entonces ser ejecutados remotamente llamando al archivo a través del servidor web
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/04/2022

Vulnerabilidad en una petición GET en Vembu BDR Suite (CVE-2021-26471)

Fecha de publicación:
08/06/2021
Idioma:
Español
En VembuBDR antes de la versión 4.2.0.1 y VembuOffsiteDR antes de la versión 4.2.0.1, la API http ubicada en /sgwebservice_o.php acepta un argumento de comando. Usando este argumento de comando un atacante no autenticado puede ejecutar comandos de shell arbitrarios
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/04/2022

Vulnerabilidad en una petición GET en Vembu BDR Suite (CVE-2021-26474)

Fecha de publicación:
08/06/2021
Idioma:
Español
Varios productos de Vembu permiten a un atacante ejecutar una falsificación de petición de sitio cruzado (no ciega) (otros productos o versiones de productos de esta familia también pueden estar afectados)
Gravedad CVSS v3.1: ALTA
Última modificación:
29/04/2022

Vulnerabilidad en una petición de emisión o fusión en GitLab CE/EE (CVE-2021-22217)

Fecha de publicación:
08/06/2021
Idioma:
Español
Una vulnerabilidad de denegación de servicio en GitLab CE/EE todas las versiones anteriores a 13.12.2, 13.11.5 o 13.10.5, permite a un atacante causar un consumo incontrolado de recursos con una petición de emisión o fusión especialmente diseñada
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/07/2022