Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el archivo dl/dl_print.php en zzcms (CVE-2021-40281)

Fecha de publicación:

09/12/2021

Idioma:

Español

Se presenta una vulnerabilidad de inyección SQL en zzcms versiones 8.2, 8.3, 2020 y 2021 en el archivo dl/dl_print.php cuando son registrados usuarios ordinarios

Gravedad CVSS v3.1: ALTA

Última modificación:

13/12/2021

Vulnerabilidad en el archivo dl/dl_download.php en zzcms (CVE-2021-40282)

Fecha de publicación:

09/12/2021

Idioma:

Español

Se presenta una vulnerabilidad de inyección SQL en zzcms versiones 8.2, 8.3, 2020, abd 2021, en el archivo dl/dl_download.php. cuando son registrados usuarios ordinarios

Gravedad CVSS v3.1: ALTA

Última modificación:

13/12/2021

Vulnerabilidad en el comando dart pub publish (CVE-2021-22568)

Fecha de publicación:

09/12/2021

Idioma:

Español

Cuando es usado el comando dart pub publish para publicar un paquete en un servidor de paquetes de terceros, la petición se autentifica con un access_token oauth2 válido para publicar en pub.dev. Usando estas credenciales obtenidas, un atacante puede suplantar al usuario en pub.dev. Se recomienda actualizar a partir de https://github.com/dart-lang/sdk/commit/d787e78d21e12ec1ef712d229940b1172aafcdf8 o de la versión 2.15

Gravedad CVSS v3.1: ALTA

Última modificación:

14/12/2021

Vulnerabilidad en la API REST en Flask-AppBuilder (CVE-2021-41265)

Fecha de publicación:

09/12/2021

Idioma:

Español

Flask-AppBuilder es un marco de desarrollo construido sobre Flask. Las versiones anteriores a la 3.3.4 contienen una vulnerabilidad de autenticación inapropiada en la API REST. El problema permite a un actor malicioso con una petición cuidadosamente diseñada sea autenticado con éxito y obtenga acceso a los endpoints de la API REST protegidos existentes. Esto sólo afecta a los tipos de autenticación que no son de base de datos y a los nuevos endpoints de la API REST. Los usuarios deben actualizar a Flask-AppBuilder versión 3.3.4 para recibir un parche

Gravedad CVSS v3.1: ALTA

Última modificación:

07/03/2025

Vulnerabilidad en la utilidad LOAD en IBM Db2 (CVE-2021-20373)

Fecha de publicación:

09/12/2021

Idioma:

Español

IBM Db2 versiones 9.7, 10.1, 10.5, 11.1 y 11.5, pueden ser vulnerables a una divulgación de información cuando es usada la utilidad LOAD, ya que en determinadas circunstancias la utilidad LOAD no aplica las restricciones de directorio. IBM X-Force ID: 199521

Gravedad CVSS v3.1: ALTA

Última modificación:

08/08/2023

Vulnerabilidad en McAfee Network Security Manager (NSM) (CVE-2021-4038)

Fecha de publicación:

09/12/2021

Idioma:

Español

Una vulnerabilidad de tipo Cross Site Scripting (XSS) en McAfee Network Security Manager (NSM) versiones anteriores a 10.1 Minor 7, permite a un administrador remoto autenticado insertar una vulnerabilidad de tipo XSS en la interfaz del administrador por medio de reglas personalizadas especialmente diseñadas que contienen HTML. NSM no saneaba correctamente el contenido de las reglas personalizadas en todos los casos

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/11/2023

Vulnerabilidad en el envío de un paquete al servicio controller_server en el puerto 9999 en los parámetros de la operación 48 del servicio controller_server en los routers Gryphon Tower (CVE-2021-20143)

Fecha de publicación:

09/12/2021

Idioma:

Español

Se presenta una vulnerabilidad de inyección de comandos no autenticada en los parámetros de la operación 48 del servicio controller_server en los routers Gryphon Tower. Un atacante remoto no autenticado en la misma red puede ejecutar comandos como root en el dispositivo mediante el envío de un paquete malicioso especialmente diseñado al servicio controller_server en el puerto 9999

Gravedad CVSS v3.1: ALTA

Última modificación:

13/12/2021

Vulnerabilidad en el envío de un paquete al servicio controller_server en el puerto 9999 en los parámetros de la operación 49 del servicio controller_server en los routers Gryphon Tower (CVE-2021-20144)

Fecha de publicación:

09/12/2021

Idioma:

Español

Se presenta una vulnerabilidad de inyección de comandos no autenticada en los parámetros de la operación 49 del servicio controller_server en los routers Gryphon Tower. Un atacante remoto no autenticado en la misma red puede ejecutar comandos como root en el dispositivo mediante el envío de un paquete malicioso especialmente diseñado al servicio controller_server en el puerto 9999

Gravedad CVSS v3.1: ALTA

Última modificación:

13/12/2021

Vulnerabilidad en un archivo de configuración openvpn en los routers de Gryphon Tower (CVE-2021-20145)

Fecha de publicación:

09/12/2021

Idioma:

Español

Los routers de Gryphon Tower contienen un archivo de configuración openvpn no protegido que puede conceder a atacantes acceso a la red VPN doméstica de Gryphon, que expone las interfaces LAN de los dispositivos de otros usuarios conectados al mismo servicio. Un atacante podría aprovechar esto para realizar cambios en la configuración o atacar los dispositivos de las víctimas como si estuvieran en una red adyacente

Gravedad CVSS v3.1: ALTA

Última modificación:

13/12/2021

Vulnerabilidad en una clave privada ssh desprotegida en los dispositivos Gryphon (CVE-2021-20146)

Fecha de publicación:

09/12/2021

Idioma:

Español

Se presenta una clave privada ssh desprotegida en los dispositivos Gryphon que podría ser usada para conseguir acceso root a un servidor afiliado al desarrollo e infraestructura de Gryphon. En el momento de la detección, la clave ssh podría usarse para iniciar sesión en el servidor de desarrollo alojado en Amazon Web Services

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/12/2021

Vulnerabilidad en el parámetro id en el archivo admin/bad.php en zzcms (CVE-2021-40279)

Fecha de publicación:

09/12/2021

Idioma:

Español

Se presenta una vulnerabilidad de inyección SQL en zzcms versiones 8.2, 8.3, 2020 y 2021, por medio del parámetro id en el archivo admin/bad.php

Gravedad CVSS v3.1: ALTA

Última modificación:

13/12/2021

Vulnerabilidad en el parámetro id en el archivo admin/dl_sendmail.php en zzcms (CVE-2021-40280)

Fecha de publicación:

09/12/2021

Idioma:

Español

Se presenta una vulnerabilidad de inyección SQL en zzcms versiones 8.2, 8.3, 2020 y 2021, por medio del parámetro id en el archivo admin/dl_sendmail.php

Gravedad CVSS v3.1: ALTA

Última modificación:

13/12/2021

Suscribirse a Vulnerabilidades