Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en XWiki (CVE-2022-41931)

Fecha de publicación:

23/11/2022

Idioma:

Español

xwiki-platform-icon-ui es vulnerable a una Neutralización Inadecuada de Directivas en Código Evaluado Dinámicamente ("Inyección de Evaluación"). Cualquier usuario con derechos de visualización de documentos comúnmente accesibles, incluida la macro del selector de iconos, puede ejecutar código Groovy, Python o Velocity arbitrario en XWiki debido a una neutralización inadecuada de los parámetros macro de la macro del recolector de iconos. El problema se solucionó en XWiki 13.10.7, 14.5 y 14.4.2. Workarounds: el [parche](https://github.com/xwiki/xwiki-platform/commit/47eb8a5fba550f477944eb6da8ca91b87eaf1d01) se puede aplicar manualmente editando `IconThemesCode.IconPickerMacro` en el editor de objetos. El documento completo también se puede reemplazar por la versión actual importando el documento desde el archivo XAR de una versión fija, ya que los únicos cambios en el documento han sido correcciones de seguridad y pequeños cambios de formato.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/11/2022

Vulnerabilidad en XWiki Platform (CVE-2022-41934)

Fecha de publicación:

23/11/2022

Idioma:

Español

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para aplicaciones creadas sobre ella. Cualquier usuario con derechos de visualización de documentos comúnmente accesibles, incluida la macro de menú, puede ejecutar código Groovy, Python o Velocity arbitrario en XWiki, lo que le otorga acceso completo a la instalación de XWiki debido a un escape inadecuado del contenido de la macro y los parámetros de la macro de menú. El problema se solucionó en XWiki 14.6RC1, 13.10.8 y 14.4.3. El parche (commit `2fc20891`) para el documento `Menu.MenuMacro` se puede aplicar manualmente o se puede importar un archivo XAR de una versión parcheada. La macro del menú básicamente no ha cambiado desde XWiki 11.6, por lo que en XWiki 11.6 o posterior lo más probable es que se pueda aplicar el parche para la versión 13.10.8 (commit `59ccca24a`); en XWiki versión 14.0 y posteriores, las versiones en XWiki 14.6 y 14.4.3. debería ser apropiado.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/06/2023

Vulnerabilidad en XWiki Platform (CVE-2022-41935)

Fecha de publicación:

23/11/2022

Idioma:

Español

XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para aplicaciones creadas sobre ella. Los usuarios sin derecho a ver documentos pueden deducir su existencia mediante consultas repetidas en Livetable. El problema se solucionó en XWiki 14.6RC1, 13.10.8 y 14.4.3, la respuesta no se limpia adecuadamente de entradas ofuscadas. Como workaround, el parche para el documento `XWiki.LiveTableResultsMacros` se puede aplicar manualmente o se puede importar un archivo XAR de una versión parcheada, en las versiones 12.10.11, 13.9-rc-1 y 13.4.4. No se conocen workarounds para este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/07/2023

Vulnerabilidad en pgjdbc (CVE-2022-41946)

Fecha de publicación:

23/11/2022

Idioma:

Español

Es un componente postgresql JDBC de código abierto. En las versiones afectadas, una declaración preparada que utilice `PreparedStatement.setText(int, InputStream)` o `PreparedStatemet.setBytea(int, InputStream)` creará un archivo temporal si el InputStream es mayor que 2k. Esto creará un archivo temporal que otros usuarios podrán leer en sistemas similares a Unix, pero no a MacOS. En sistemas tipo Unix, el directorio temporal del sistema se comparte entre todos los usuarios de ese sistema. Debido a esto, cuando los archivos y directorios se escriben en este directorio, de forma predeterminada, otros usuarios en ese mismo sistema pueden leerlos. Esta vulnerabilidad no permite que otros usuarios sobrescriban el contenido de estos directorios o archivos. Esto es puramente una vulnerabilidad de divulgación de información. Debido a que ciertas API del sistema de archivos JDK solo se agregaron en JDK 1.7, esta solución depende de la versión de JDK que esté utilizando. Usuarios de Java 1.7 y superiores: esta vulnerabilidad se solucionó en 4.5.0. Usuarios de Java 1.6 y versiones anteriores: no hay ningún parche disponible. Si no puede parchear o no puede ejecutar Java 1.6, especificar la variable de entorno del sistema java.io.tmpdir en un directorio que sea propiedad exclusiva del usuario que lo ejecuta mitigará esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/11/2025

Vulnerabilidad en JIZHI CMS 1.9.4. (CVE-2021-29334)

Fecha de publicación:

23/11/2022

Idioma:

Español

Se descubrió un problema en JIZHI CMS 1.9.4. Existe una vulnerabilidad CSRF que puede agregar una cuenta de administrador a través del índice, /admin.php/Admin/adminadd.html

Gravedad CVSS v3.1: ALTA

Última modificación:

29/04/2025

Vulnerabilidad en Optica (CVE-2022-41875)

Fecha de publicación:

23/11/2022

Idioma:

Español

Vulnerabilidad de ejecución remota de código (RCE) en Optica permite a atacantes no autenticados ejecutar código arbitrario a través de payloads JSON especialmente manipulados. Los payloads JSON especialmente manipulados pueden provocar RCE (ejecución remota de código) en el sistema atacado que ejecuta Optica. La vulnerabilidad se parchó en la versión 0.10.2, donde la llamada a la función `oj.load` se cambió a `oj.safe_load`.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

30/11/2022

Vulnerabilidad en XWiki Platform (CVE-2022-41927)

Fecha de publicación:

23/11/2022

Idioma:

Español

XWiki Platform es vulnerable a la Cross-Site Request Forgery (CSRF), que puede permitir a los atacantes eliminar o cambiar el nombre de las etiquetas sin necesidad de confirmación. El problema se solucionó en XWiki 13.10.7, 14.4.1 y 14.5RC1. Workarounds: es posible parchear instancias existentes directamente editando la página Main.Tags y agregando este tipo de verificación en el código para cambiar el nombre y eliminar: ``` #if (!$services.csrf.isTokenValid($request.get(&#39;form_token&#39;))) #set ($discard = $response.sendError(401, "Wrong CSRF token")) #end ```

Gravedad CVSS v3.1: ALTA

Última modificación:

30/11/2022

Vulnerabilidad en XWiki Platform (CVE-2022-41928)

Fecha de publicación:

23/11/2022

Idioma:

Español

XWiki Platform vulnerable a una Neutralización Inadecuada de Directivas en Código Evaluado Dinámicamente (""Inyección de evaluación"") en AttachmentSelector.xml. El problema también se puede reproducir insertando un payload peligroso en las propiedades macro ""height"" o ""alt"". Esto se ha parcheado en las versiones 13.10.7, 14.4.2 y 14.5. El problema se puede solucionar en una wiki en ejecución actualizando `XWiki.AttachmentSelector` con las siguientes versiones: <br /> - 14.5-rc-1+: https://github.com/xwiki/xwiki-platform/commit/eb15147adf94bddb92626f862c1710d45bcd64a7#diff-e1513599ab698991f6cbba55d38f3f464432ced8d137a668b1f7618c7e747e23 - 14.4.2+: https://github.com/xwiki/xwiki-platform/commit/c02f8eb1f3c953d124f2c097021536f8bc00fa8d#diff-e1513599ab698991f6cbba55d38f3f464432ced8d137a668b1f7618c7e747e23 - 13.10.7+: https://github.com/xwiki/xwiki-platform/commit/efd0df0468d46149ba68b66660b93f31b6318515#diff-e1513599ab698991f6cbba55d38f3f464432ced8d137a668b1f7618c7e747e23

Gravedad CVSS v3.1: ALTA

Última modificación:

30/11/2022

Vulnerabilidad en XWiki (CVE-2022-41929)

Fecha de publicación:

23/11/2022

Idioma:

Español

org.xwiki.platform:xwiki-platform-oldcore carece de autorización en User#setDisabledStatus, lo que puede permitir que un usuario autorizado incorrectamente y con solo derechos de script habilite o deshabilite a un usuario. Esta operación está destinada a estar disponible sólo para usuarios con derechos de administrador. Este problema se solucionó en XWiki 13.10.7, 14.4.2 y 14.5RC1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/11/2022

Vulnerabilidad en XWiki (CVE-2022-41930)

Fecha de publicación:

23/11/2022

Idioma:

Español

A org.xwiki.platform:xwiki-platform-user-profile-ui le falta autorización para habilitar o deshabilitar usuarios. Cualquier usuario (con sesión iniciada o no) con acceso a la página XWiki.XWikiUserProfileSheet puede habilitar o deshabilitar cualquier perfil de usuario. Esto podría permitir a un usuario deshabilitado volver a habilitarse, o a un atacante deshabilitar a cualquier usuario de la wiki. El problema se solucionó en XWiki 13.10.7, 14.5RC1 y 14.4.2. Workarounds: el problema se puede solucionar inmediatamente editando la página `XWiki.XWikiUserProfileSheet` en la wiki y realizando los cambios contenidos en <br /> https://github.com/xwiki/xwiki-platform/commit/5be1cc0adf917bf10899c47723fa451e950271fa.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/11/2022

Vulnerabilidad en Tailscale (CVE-2022-41925)

Fecha de publicación:

23/11/2022

Idioma:

Español

Una vulnerabilidad identificada en el cliente Tailscale permite que un sitio web malicioso acceda a la API del mismo nivel, que luego puede usarse para acceder a las variables de entorno de Tailscale. En el cliente Tailscale, la API del mismo nivel era vulnerable a la nueva vinculación de DNS. Esto permitió que un sitio web controlado por un atacante visitado por el nodo volviera a vincular el DNS para la API del mismo nivel a un servidor DNS controlado por el atacante y luego realizar solicitudes de API del mismo nivel en el cliente, incluido el acceso a las variables de entorno Tailscale del nodo. Un atacante con acceso a la API del mismo nivel en un nodo podría usar ese acceso para leer las variables de entorno del nodo, incluidas las credenciales o secretos almacenados en las variables de entorno. Esto puede incluir claves de autenticación de Tailscale, que luego podrían usarse para agregar nuevos nodos a la red trasera del usuario. El acceso a la API de pares también podría usarse para conocer otros nodos en la tailnet o enviar archivos a través de Taildrop. Todos los clientes de Tailscale anteriores a la versión v1.32.3 se ven afectados. Actualice a v1.32.3 o posterior para solucionar el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/12/2022

Vulnerabilidad en Tailscale (CVE-2022-41924)

Fecha de publicación:

23/11/2022

Idioma:

Español

Una vulnerabilidad identificada en el cliente Tailscale de Windows permite que un sitio web malicioso reconfigure el daemon Tailscale "tailscaled", que luego puede usarse para ejecutar código de forma remota. En el cliente Tailscale de Windows, la API local estaba vinculada a un socket TCP local y se comunicaba con la GUI del cliente de Windows en texto plano sin verificación del encabezado del Host. Esto permitió que un sitio web controlado por un atacante visitado por el nodo volviera a vincular DNS a un servidor DNS controlado por un atacante y luego realizar solicitudes de API locales en el cliente, incluido el cambio del servidor de coordinación a un servidor de coordinación controlado por un atacante. Un servidor de coordinación controlado por un atacante puede enviar respuestas URL maliciosas al cliente, incluida la inserción de ejecutables o la instalación de un recurso compartido SMB. Estos permiten al atacante ejecutar código de forma remota en el nodo. Todos los clientes de Windows anteriores a la versión v.1.32.3 se ven afectados. Si está ejecutando Tailscale en Windows, actualice a la versión 1.32.3 o posterior para solucionar el problema.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

27/06/2023

Suscribirse a Vulnerabilidades