Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el mecanismo de protección de .noexe en el módulo DMS/ECM en Dolibarr (CVE-2020-13240)
Fecha de publicación:
20/05/2020
Idioma:
Español
El módulo DMS/ECM en Dolibarr versión 11.0.4, permite a usuarios con el permiso "Setup documents directories" renombrar archivos cargados para tener extensiones de archivo no seguras. Esto omite el mecanismo de protección de .noexe contra el ataque de tipo XSS.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/11/2022

Vulnerabilidad en los permisos en los dispositivos Panasonic P110, Eluga Z1 Pro, Eluga X1 y Eluga X1 Pro (CVE-2020-11716)
Fecha de publicación:
20/05/2020
Idioma:
Español
Los dispositivos Panasonic P110, Eluga Z1 Pro, Eluga X1 y Eluga X1 Pro hasta el 10-04-2020 tienen permisos inseguros. NOTA: el proveedor declara que todos los productos afectados se encuentran en "Fin de soporte de software".
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/03/2023

Vulnerabilidad en la dirección del descriptor en la función "virtio_dev_rx_batch_packed()" en la aplicación backend vhost-user en DPDK (CVE-2020-10725)
Fecha de publicación:
20/05/2020
Idioma:
Español
Se detectó un fallo en DPDK versión 19.11 y superior, que permite a un invitado malicioso causar un fallo de segmentación de la aplicación backend vhost-user que se ejecuta en el host, lo que podría resultar en una pérdida de conectividad para los otros invitados ejecutados en ese host. Esto es causado por una falta de comprobación de la validez de la dirección del descriptor en la función "virtio_dev_rx_batch_packed()".
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en un contenedor en mensajes de VHOST_USER_GET_INFLIGHT_FD en DPDK (CVE-2020-10726)
Fecha de publicación:
20/05/2020
Idioma:
Español
Se detectó una vulnerabilidad en DPDK versiones 19.11 y superiores. Un contenedor malicioso que presenta acceso directo al socket vhost-user puede seguir enviando mensajes de VHOST_USER_GET_INFLIGHT_FD, causando una filtración de recursos (descriptores de archivos y memoria virtual), lo que puede resultar en una denegación de servicio.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en una cuenta de usuario en Cacti (CVE-2020-13230)
Fecha de publicación:
20/05/2020
Idioma:
Español
En Cacti versiones anteriores a 1.2.11, deshabilita una cuenta de usuario que no invalida inmediatamente los permisos concedidos a dicha cuenta (por ejemplo, el permiso para visualizar los registros).
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en auth_profile.php?action=edit en Cacti (CVE-2020-13231)
Fecha de publicación:
20/05/2020
Idioma:
Español
En Cacti versiones anteriores a 1.2.11, auth_profile.php?action=edit permite un ataque de tipo CSRF para un cambio de correo electrónico de administrador.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en el manejo de ICE Candidate en Signal Private Messenger Android e iOS (CVE-2020-5753)
Fecha de publicación:
20/05/2020
Idioma:
Español
Signal Private Messenger Android versiones v4.59.0 y superiores e iOS versiones v3.8.1.5 y superiores, permiten a alguien que no es contacto remoto llamar al teléfono Signal de la víctima y divulgar el servidor DNS usado actualmente debido al manejo de ICE Candidate antes de que la llamada sea contestada o rechazada.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/04/2022

Vulnerabilidad en las interfaces de usuario basadas en HTML5 y Flex, la interfaz del Explorador de la API y el acceso a la API en VMware Cloud Director (CVE-2020-3956)
Fecha de publicación:
20/05/2020
Idioma:
Español
VMware Cloud Director versiones 10.0.x anteriores a 10.0.0.2, versiones 9.7.0.x anteriores a 9.7.0.5, versiones 9.5.0.x anteriores a 9.5.0.6 y versiones 9.1.0.x anteriores a 9.1.0.4, no manejan apropiadamente la entrada conllevando a una vulnerabilidad de inyección de código. Un actor autenticado puede ser capaz de enviar tráfico malicioso a VMware Cloud Director, lo que puede conllevar a una ejecución de código remota arbitraria. Esta vulnerabilidad puede ser explotada por medio de las interfaces de usuario basadas en HTML5 y Flex, la interfaz del Explorador de la API y el acceso a la API.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/12/2021

Vulnerabilidad en configuración "require_valid_user_except_for_up" en el servidor de base de datos en CouchDB (CVE-2020-1955)
Fecha de publicación:
20/05/2020
Idioma:
Español
CouchDB versión 3.0.0, es enviada con una nueva configuración que rige el control de acceso a todo el servidor de base de datos llamada "require_valid_user_except_for_up". Se suponía que una extensión del antiguo ajuste "require_valid_user", que a su vez requiere que todas y cada una de las peticiones hacia CouchDB tengan que hacerse con credenciales válidas, prohibiendo efectivamente cualquier petición anónima. El nuevo "require_valid_user_except_for_up" es un ajuste desactivado por defecto que se supone que permite requerir credenciales válidas para todos los endpoints excepto para el endpoint "/_up". Sin embargo, la implementación de éste cometió un error que conllevó a no aplicar las credenciales sobre ningún endpoint, cuando estaba habilitado. CouchDB versiones 3.0.1[1] y 3.1.0[2] corrige este problema.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/07/2021

Vulnerabilidad en report generator de TIBCO JasperReports Library para ActiveMatrix BPM, TIBCO JasperReports Server, TIBCO JasperReports Server para AWS Marketplace, y TIBCO JasperReports Server para ActiveMatrix BPM de TIBCO Software Inc (CVE-2020-9410)
Fecha de publicación:
20/05/2020
Idioma:
Español
El componente report generator de TIBCO JasperReports Library, TIBCO JasperReports Library para ActiveMatrix BPM, TIBCO JasperReports Server, TIBCO JasperReports Server para AWS Marketplace, y TIBCO JasperReports Server para ActiveMatrix BPM, de TIBCO Software Inc, contienen una vulnerabilidad que teóricamente permite a un atacante explotar una inyección de HTML para conseguir el control total de una interfaz web que contiene la salida del componente report generator con los privilegios de cualquier usuario que visualice los reportes afectados. El atacante puede, teóricamente explotar esta vulnerabilidad cuando otros usuarios visualizan un reporte generado maliciosamente, en el que esos reportes usan Fusion Charts y una fuente de datos con contenidos controlados por un atacante. Las versiones afectadas son TIBCO JasperReports Library de TIBCO Software Inc: versiones 7.1.1 y por debajo, versiones 7.2.0 y 7.2.1, versión 7.3.0, versión 7.5.0, TIBCO JasperReports Library para ActiveMatrix BPM: versiones 7.1.1 y por debajo, TIBCO JasperReports Server: versiones 7.1.1 y por debajo, versión 7.2.0, versión 7.5.0, TIBCO JasperReports Server para AWS Marketplace: versiones 7.5.0 y por debajo, y TIBCO JasperReports Server para ActiveMatrix BPM: versiones 7.1.1 y por debajo.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en los permisos de "superuser" en el componente de la Interfaz de Usuario administrativa de TIBCO JasperReports Server, TIBCO JasperReports Server para AWS Marketplace, y TIBCO JasperReports Server para ActiveMatrix BPM de TIBCO Software Inc (CVE-2020-9409)
Fecha de publicación:
20/05/2020
Idioma:
Español
El componente de la Interfaz de Usuario administrativa de TIBCO JasperReports Server, TIBCO JasperReports Server para AWS Marketplace, y TIBCO JasperReports Server para ActiveMatrix BPM, de TIBCO Software Inc, contiene una vulnerabilidad que teóricamente permite a un atacante no autenticado conseguir los permisos de un "superuser" de JasperReports Server para los sistemas afectados. El atacante puede, teóricamente explotar la vulnerabilidad consistentemente, remotamente y sin autenticación. Las versiones afectadas son TIBCO JasperReports Server de TIBCO Software Inc: versiones 7.1.1 y por debajo, TIBCO JasperReports Server para AWS Marketplace: versiones 7.1.1 y por debajo, y TIBCO JasperReports Server para ActiveMatrix BPM: versiones 7.1.1 y por debajo.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/11/2023

Vulnerabilidad en un componente Network Licensing Protocol basado en Java RMI en SmartBear ReadyAPI SoapUI Pro (CVE-2020-12835)
Fecha de publicación:
20/05/2020
Idioma:
Español
Se detectó un problema en SmartBear ReadyAPI SoapUI Pro versión 3.2.5. Debido al uso no seguro de un protocolo basado en Java RMI en una configuración no segura, un atacante puede inyectar objetos serializados maliciosos en la comunicación, resultando en una ejecución de código remota en el contexto de un componente Network Licensing Protocol del lado del cliente.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/07/2021
Suscribirse a Vulnerabilidades