Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en un servidor host en Hyper-V RemoteFX vGPU de Microsoft (CVE-2020-1036)
Fecha de publicación:
14/07/2020
Idioma:
Español
Se presenta una vulnerabilidad de ejecución de código remota cuando Hyper-V RemoteFX vGPU en un servidor host presenta un fallo al comprobar apropiadamente la entrada de un usuario autenticado en un sistema operativo invitado, también se conoce como 'Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability'. Este ID de CVE es diferente de CVE-2020-1032, CVE-2020-1040, CVE-2020-1041, CVE-2020-1042, CVE-2020-1043
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/07/2020

Vulnerabilidad en un servidor host en Hyper-V RemoteFX vGPU de Microsoft (CVE-2020-1032)
Fecha de publicación:
14/07/2020
Idioma:
Español
Se presenta una vulnerabilidad de ejecución de código remota cuando Hyper-V RemoteFX vGPU en un servidor host presenta un fallo al comprobar apropiadamente la entrada de un usuario autenticado en un sistema operativo invitado, también se conoce como 'Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability'. Este ID de CVE es diferente de CVE-2020-1036, CVE-2020-1040, CVE-2020-1041, CVE-2020-1042, CVE-2020-1043
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/07/2020

Vulnerabilidad en un servidor host en Hyper-V RemoteFX vGPU de Microsoft (CVE-2020-1041)
Fecha de publicación:
14/07/2020
Idioma:
Español
Se presenta una vulnerabilidad de ejecución de código remota cuando Hyper-V RemoteFX vGPU en un servidor host presenta un fallo al comprobar apropiadamente la entrada de un usuario autenticado en un sistema operativo invitado, también se conoce como 'Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability'. Este ID de CVE es diferente de CVE-2020-1032, CVE-2020-1036, CVE-2020-1040, CVE-2020-1042, CVE-2020-1043
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/07/2020

Vulnerabilidad en un servidor host en Hyper-V RemoteFX vGPU de Microsoft (CVE-2020-1042)
Fecha de publicación:
14/07/2020
Idioma:
Español
Se presenta una vulnerabilidad de ejecución de código remota cuando Hyper-V RemoteFX vGPU en un servidor host presenta un fallo al comprobar apropiadamente la entrada de un usuario autenticado en un sistema operativo invitado, también se conoce como "Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability". Este ID de CVE es diferente de CVE-2020-1032, CVE-2020-1036, CVE-2020-1040, CVE-2020-1041, CVE-2020-1043
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/07/2020

Vulnerabilidad en un servidor host en Hyper-V RemoteFX vGPU de Microsoft (CVE-2020-1043)
Fecha de publicación:
14/07/2020
Idioma:
Español
Se presenta una vulnerabilidad de ejecución de código remota cuando Hyper-V RemoteFX vGPU en un servidor host presenta un fallo al comprobar apropiadamente la entrada de un usuario autenticado en un sistema operativo invitado, también se conoce como "Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability". Este ID de CVE es diferente de CVE-2020-1032, CVE-2020-1036, CVE-2020-1040, CVE-2020-1041, CVE-2020-1042
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/07/2020

Vulnerabilidad en "For Developers" en la ejecución manual de la función eval() en iPear (CVE-2020-11084)
Fecha de publicación:
14/07/2020
Idioma:
Español
En iPear, la ejecución manual de la función eval() puede conducir a la inyección de comandos. Solo están afectadas las PC donde los comandos se ejecutan manualmente por medio de "For Developers". Esta función permite ejecutar cualquier código PHP dentro de iPear que pueda cambiar, dañar o robar datos (archivos) desde la PC
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/11/2021

Vulnerabilidad en una estructura de directorios de más de 1000 directorios anidados en Python y os.walk() en el escaneo en freewvs (CVE-2020-15101)
Fecha de publicación:
14/07/2020
Idioma:
Español
En freewvs versiones anteriores a 0.1.1, una estructura de directorios de más de 1000 directorios anidados puede interrumpir un escaneo de freewvs debido al límite de recursión de Python y os.walk(). Esto puede ser problemático en un caso en donde un administrador escanea los directorios de usuarios potencialmente no confiables. Esto ha sido parcheado en la versión 0.1.1
Gravedad CVSS v3.1: BAJA
Última modificación:
18/11/2021

Vulnerabilidad en la comprobación de los certificados TLS en verify_subject_alt_name y match_subject_alt_names en Envoy (CVE-2020-15104)
Fecha de publicación:
14/07/2020
Idioma:
Español
En Envoy versiones anteriores a 1.12.6, 1.13.4, 1.14.4 y 1.15.0, cuando se comprueban los certificados TLS, Envoy permitiría incorrectamente aplicar un DNS Subject Alternative Name comodín a múltiples subdominios. Por ejemplo, con una SAN de *.example.com, Envoy permitiría incorrectamente el nested.subdomain.example.com, cuando solo debería permitir el subdomain.example.com. Este fallo aplica para ambos comprobaciones de un certificado TLS del cliente en mTLS y a la comprobación de un certificado TLS del servidor para conexiones anteriores. Esta vulnerabilidad solo es aplicable a situaciones en las que una entidad no confiable puede obtener un certificado TLS comodín firmado para un dominio en el que solo desea confiar en un subdominio. Por ejemplo, si tiene la intención de confiar en api.mysubdomain.example.com, y un actor no confiable puede obtener un certificado TLS firmado para *.example.com o *.com. Las configuraciones son vulnerables si usan verify_subject_alt_name en cualquier versión de Envoy, o si usan match_subject_alt_names en la versión 1.14 o posteriores. Este problema ha sido corregido en las versiones de Envoy 1.12.6, 1.13.4, 1.14.4, 1.15.0
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/07/2020

Vulnerabilidad en un FormWidget de descuento y en HTML generado desde el campo en el plugin RainLab.Blog (CVE-2020-11083)
Fecha de publicación:
14/07/2020
Idioma:
Español
En octubre, desde versión 1.0.319 y anterior a versión 1.0.466, un usuario con acceso a un FormWidget de descuento que almacena datos persistentemente podría crear un ataque de tipo XSS almacenado contra sí mismo y cualquier otro usuario con acceso al HTML generado desde el campo. Esto se ha corregido en 1.0.466. Para los usuarios del plugin RainLab.Blog, esto también se ha corregido en 1.4.1
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/01/2023

Vulnerabilidad en el suministro de una entrada en el filtro de búsqueda LDAP en Traccar GPS Tracking System (CVE-2020-5246)
Fecha de publicación:
14/07/2020
Idioma:
Español
Traccar GPS Tracking System versiones anteriores a 4.9, presenta una vulnerabilidad de inyección LDAP. Se produce cuando la entrada del usuario está siendo usada en el filtro de búsqueda LDAP. Al proporcionar una entrada especialmente diseñada, un atacante puede modificar la lógica de la consulta LDAP y obtener privilegios de administrador. El problema solo afecta a las instancias con la configuración LDAP y donde los usuarios pueden crear sus propios nombres. Esto ha sido parcheado en la versión 4.9
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/07/2020

Vulnerabilidad en la creación de un archivo grande en freewvs (CVE-2020-15100)
Fecha de publicación:
14/07/2020
Idioma:
Español
En freewvs versiones anteriores a 0.1.1, un usuario podría crear un archivo grande que freewvs intentará leer, lo que finalizará un proceso de escaneo. Esto ha sido parcheado en versión 0.1.1
Gravedad CVSS v3.1: BAJA
Última modificación:
18/11/2021

Vulnerabilidad en el archivo mailingupgrade.php en el parámetro Language en SuperWebMailer (CVE-2020-11546)
Fecha de publicación:
14/07/2020
Idioma:
Español
SuperWebMailer versión 7.21.0.01526 es susceptible a una vulnerabilidad de ejecución de código remota en el parámetro Language del archivo mailingupgrade.php. Un atacante remoto no autenticado puede explotar este comportamiento para ejecutar código PHP arbitrario por medio de la inyección de código
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/07/2021
Suscribirse a Vulnerabilidades