Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en navegación de una pestaña en la API history en Firefox (CVE-2020-12412)

Fecha de publicación:
09/07/2020
Idioma:
Español
Al navegar en una pestaña usando la API history, un atacante podría causar que la barra de direcciones muestre el dominio incorrecto (con el esquema https://, un número de puerto bloqueado como "1" y sin un ícono de bloqueo) mientras controla los contenidos de la página. Esta vulnerabilidad afecta a Firefox versiones anteriores a 70
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/07/2020

Vulnerabilidad en caracteres en blanco en una URL en Firefox (CVE-2020-12409)

Fecha de publicación:
09/07/2020
Idioma:
Español
Cuando usan determinados caracteres en blanco en una URL, fueron incorrectamente renderizados como espacios en lugar de una URL codificada. Esta vulnerabilidad afecta a Firefox versiones anteriores a 77
Gravedad CVSS v3.1: ALTA
Última modificación:
13/07/2020

Vulnerabilidad en el puente native-to-JS en Firefox para iOS (CVE-2020-12404)

Fecha de publicación:
09/07/2020
Idioma:
Español
Para el puente native-to-JS, la aplicación requiere que sea pasado un token único que garantice que un código que no sea de la aplicación no pueda llamar a las funciones de puente. Ese token podría filtrarse cuando sea usado para descargar archivos. Esta vulnerabilidad afecta a Firefox para iOS versiones anteriores a 26
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/07/2021

Vulnerabilidad en la navegación de una página en SharedWorkerService en Thunderbird, Firefox y Firefox ESR (CVE-2020-12405)

Fecha de publicación:
09/07/2020
Idioma:
Español
Cuando se navega una página maliciosa, podría ocurrir una condición de carrera en nuestro SharedWorkerService y conllevar a un bloqueo potencialmente explotable. Esta vulnerabilidad afecta a Thunderbird versiones anteriores a 68.9.0, Firefox versiones anteriores a 77 y Firefox ESR versiones anteriores a 68.9
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/05/2022

Vulnerabilidad en la generación de claves RSA en las implementaciones de bignum en una variación del Binary Extended Euclidean Algorithm en Firefox (CVE-2020-12402)

Fecha de publicación:
09/07/2020
Idioma:
Español
Durante la generación de claves RSA, las implementaciones de bignum usaron una variación del Binary Extended Euclidean Algorithm que implicaba un flujo significativamente dependiente de la entrada. Esto permitió a un atacante poder llevar a cabo ataques de canal lateral basados ??en electromagnetismo para registrar trazas conllevando a la recuperación de los principales secretos. *Nota:* Un navegador Firefox no modificado no genera claves RSA en funcionamiento normal y no está afectado, pero los productos creados sobre él sí pueden. Esta vulnerabilidad afecta a Firefox versiones anteriores a 78
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en las firmas DSA en NSS en Thunderbird, Firefox y Firefox ESR (CVE-2020-12399)

Fecha de publicación:
09/07/2020
Idioma:
Español
NSS ha mostrado diferencias de sincronización cuando se llevan a cabo firmas DSA, que fue explotable y eventualmente podría filtrar claves privadas. Esta vulnerabilidad afecta a Thunderbird versiones anteriores a 68.9.0, Firefox versiones anteriores a 77 y Firefox ESR versiones anteriores a 68.9
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/01/2022

Vulnerabilidad en el envío de una respuesta PREAUTH al usar STARTTLS para un servidor IMAP en Thunderbird (CVE-2020-12398)

Fecha de publicación:
09/07/2020
Idioma:
Español
Si Thunderbird está configurado para usar STARTTLS para un servidor IMAP, y el servidor envía una respuesta PREAUTH, entonces Thunderbird continuará con una conexión sin cifrar, causando que unos datos de correo electrónico sean enviados sin protección. Esta vulnerabilidad afecta a Thunderbird versiones anteriores a 68.9.0
Gravedad CVSS v3.1: ALTA
Última modificación:
04/01/2022

Vulnerabilidad en el soporte PKCE no está implementado según el RFC para OAuth en el paquete com.google.oauth-client:google-oauth-client (CVE-2020-7692)

Fecha de publicación:
09/07/2020
Idioma:
Español
Un soporte PKCE no está implementado de acuerdo con el RFC para OAuth versión 2.0 para Native Apps. Sin el uso de PKCE, el código de autorización devuelto por un servidor de autorización no es suficiente para garantizar que el cliente que emitió la petición de autorización inicial sea el que será autorizado. Un atacante puede ser capaz de obtener el código de autorización usando una aplicación maliciosa en el lado del cliente y usarlo para conseguir autorización para el recurso protegido. Esto afecta el paquete com.google.oauth-client:google-oauth-client versiones anteriores a 1.31.0
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/11/2023

Vulnerabilidad en el encabezado Upgrade con el valor websocket en el paquete sockjs (CVE-2020-7693)

Fecha de publicación:
09/07/2020
Idioma:
Español
El manejo incorrecto del encabezado Upgrade con el valor websocket conlleva en un bloqueo de contenedores que alojan aplicaciones sockjs. Esto afecta el paquete sockjs versiones anteriores a 0.3.20
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/07/2022

Vulnerabilidad en el suministro de un URI en un aviso de permiso para WebRTC en Firefox (CVE-2020-12424)

Fecha de publicación:
09/07/2020
Idioma:
Español
Cuando se construye un aviso de permiso para WebRTC, se suministraba un URI desde el proceso de contenido. Este URI no era confiable, y podría haber sido el URI de un origen que previamente se le concediera permiso; omitiendo el aviso. Esta vulnerabilidad afecta a Firefox versiones anteriores a 78
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/01/2023

Vulnerabilidad en el manejador del conjunto de opciones del socket IPV6_2292PKTOPTIONS en FreeBSD (CVE-2020-7457)

Fecha de publicación:
09/07/2020
Idioma:
Español
En FreeBSD versiones 12.1-ESTABLE anteriores a r359565, versiones 12.1-RELEASE anteriores a p7, versiones 11.4-ESTABLE anteriores a r362975, versiones 11.4-RELEASE anteriores a p1 y 11.3-RELEASE anteriores a p11, una falta de sincronización en el manejador del conjunto de opciones del socket IPV6_2292PKTOPTIONS contenía una condición de carrera que permitía una aplicación maliciosa para modificar la memoria después de ser liberada, resultando posiblemente en una ejecución de código
Gravedad CVSS v3.1: ALTA
Última modificación:
04/01/2022

Vulnerabilidad en la función posix_spawnp en la variable de entorno PATH en FreeBSD (CVE-2020-7458)

Fecha de publicación:
09/07/2020
Idioma:
Español
En FreeBSD versiones 12.1-STABLE anteriores a r362281, versiones 11.4-STABLE anteriores a r362281 y versiones 11.4-RELEASE anteriores a p1, los valores largos en la variable de entorno PATH controlada por el usuario causan que la función posix_spawnp escriba más allá del final de la región stack asignada a la región heap de la memoria, conllevando posiblemente a una ejecución de código arbitrario
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/01/2022