Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la funcionalidad typolink en las etiquetas de enlace en TYPO3 CMS (CVE-2020-11065)

Fecha de publicación:
13/05/2020
Idioma:
Español
En TYPO3 CMS versiones mayores o iguales a 9.5.12 y menores a 9.5.17, y versiones mayores o iguales a 10.2.0 y versiones menores a 10.4.2, ha sido detectado que las etiquetas de enlace generadas por la funcionalidad typolink son vulnerables a un ataque de tipo cross-site scripting; las propiedades que han sido asignadas como atributos HTML no han sido analizadas correctamente. Esto ha sido corregido en las versiones 9.5.17 y 10.4.2.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/05/2020

Vulnerabilidad en los atributos placeholder de HTML en una cuenta de usuario del back-end en TYPO3 CMS (CVE-2020-11064)

Fecha de publicación:
13/05/2020
Idioma:
Español
En TYPO3 CMS versiones mayores o iguales a 9.5.12 y menores a 9.5.17, y versiones mayores o iguales a 10.2.0 y versiones menores a 10.4.2, ha sido detectado que los atributos placeholder de HTML que contienen datos de otros registros de bases de datos son vulnerables a un ataque de tipo cross-site scripting. Es requerida una cuenta de usuario del back-end válida para explotar esta vulnerabilidad. Esto ha sido corregido en las versiones 9.5.17 y 10.4.2.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/05/2020

Vulnerabilidad en la funcionalidad password reset en las cuentas de usuario del backend en TYPO3 CMS (CVE-2020-11063)

Fecha de publicación:
13/05/2020
Idioma:
Español
En TYPO3 CMS versiones 10.4.0 y 10.4.1, ha sido detectado que los ataques basados en tiempo pueden ser usados con la funcionalidad password reset para usuarios del back-end. Esto permite a un atacante montar la enumeración de usuarios basado en las direcciones de correo electrónico asignadas a las cuentas de usuario del backend. Esto ha sido corregido en la versión 10.4.2.
Gravedad CVSS v3.1: BAJA
Última modificación:
03/12/2024

Vulnerabilidad en el servidor de administración de PAN-OS (CVE-2020-2014)

Fecha de publicación:
13/05/2020
Idioma:
Español
Una vulnerabilidad de Inyección de Comandos del Sistema Operativo en el servidor de administración de PAN-OS, permite a usuarios autenticados inyectar y ejecutar comandos de shell arbitrarios con privilegios root. Este problema afecta: Todas las versiones de PAN-OS 7.1 y 8.0; PAN-OS versiones 8.1 anteriores a 8.1.14; PAN-OS versiones 9.0 anteriores a 9.0.7.
Gravedad CVSS v3.1: ALTA
Última modificación:
14/05/2020

Vulnerabilidad en DOM en PAN-OS y las interfaces web de Panorama Management (CVE-2020-2017)

Fecha de publicación:
13/05/2020
Idioma:
Español
Existe una vulnerabilidad de Cross Site Scripting basada en DOM en PAN-OS y las interfaces web de Panorama Management. Un atacante remoto capaz de convencer a un administrador autenticado para que haga clic en un enlace especialmente diseñado para PAN-OS y Panorama Web Interfaces podría ejecutar código JavaScript arbitrario en el navegador del administrador y realizar acciones administrativas. Este problema afecta: PAN-OS 7.1 versiones anteriores a la versión 7.1.26; PAN-OS 8.1 versiones anteriores a la versión 8.1.13; PAN-OS 9.0 versiones anteriores a la versión 9.0.6; Todas las versiones de PAN-OS 8.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/05/2020

Vulnerabilidad en Una condición de carrera debido a la creación no segura de un archivo (CVE-2020-2016)

Fecha de publicación:
13/05/2020
Idioma:
Español
Una condición de carrera debido a la creación no segura de un archivo en una vulnerabilidad de directorio temporal en PAN-OS permite la escalada de privilegios raíz desde una cuenta de usuario de Linux limitada. Esto permite que un atacante que haya escapado del shell restringido como administrador de bajos privilegios, posiblemente explotando otra vulnerabilidad, escale privilegios para convertirse en usuario root. Este problema afecta: PAN-OS 7.1 versiones anteriores a la versión 7.1.26; PAN-OS 8.1 versiones anteriores a la versión 8.1.13; PAN-OS 9.0 versiones anteriores a la versión 9.0.6; Todas las versiones de PAN-OS 8.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/05/2020

Vulnerabilidad en el servidor de administración de PAN-OS (CVE-2020-2015)

Fecha de publicación:
13/05/2020
Idioma:
Español
Una vulnerabilidad de desbordamiento del búfer en el servidor de administración de PAN-OS permite a los usuarios autentificados bloquear los procesos del sistema o potencialmente ejecutar código arbitrario con privilegios root. Este problema afecta: PAN-OS versiones 7.1 anteriores a 7.1.26; PAN-OS versiones 8.1 anteriores a la 8.1.13; PAN-OS versiones 9.0 anteriores a 9.0.7; PAN-OS versiones 9.1 anteriores a la 9.1.1; todas las versiones de PAN-OS 8.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/05/2020

Vulnerabilidad en información confidencial en el Panorama PAN-OS de Palo Alto Networks (CVE-2020-2013)

Fecha de publicación:
13/05/2020
Idioma:
Español
Una transmisión de texto claro de vulnerabilidad de información confidencial en el Panorama PAN-OS de Palo Alto Networks que revela una cookie de sesión PAN-OS autenticada por el administrador de PAN-OS. Cuando un administrador emite una solicitud de cambio de contexto a un firewall administrado con una versión de PAN-OS Panorama afectada, su cookie de sesión de PAN-OS se transmite por medio de texto claro al firewall. Un atacante con la capacidad de interceptar este tráfico de red entre el firewall y Panorama puede acceder a la cuenta del administrador y manipular aún más los dispositivos administrados por Panorama. Este problema afecta: PAN-OS 7.1 versiones anteriores a la versión 7.1.26; PAN-OS 8.1 versiones anteriores a la versión 8.1.13; PAN-OS 9.0 versiones anteriores a la versión 9.0.6; PAN-OS 9.1 versiones anteriores a la versión 9.1.1; Todas las versiones de PAN-OS 8.0;
Gravedad CVSS v3.1: ALTA
Última modificación:
18/05/2020

Vulnerabilidad en el registro del Firewall en el servicio proxy Palo Alto Networks PAN-OS Panorama (CVE-2020-2018)

Fecha de publicación:
13/05/2020
Idioma:
Español
Una vulnerabilidad de omisión de autentificación en la función de conmutación de contexto de Panorama permite a un atacante con acceso de red a la interfaz de gestión de Panorama obtener un acceso privilegiado a la gestión del Firewall. Un atacante requiere cierto conocimiento de la gestión del Firewall para explotar esta cuestión. Este problema no afecta a Panorama configurado con certificados personalizados de autenticación para la comunicación entre Panorama y los dispositivos gestionados. Este problema afecta: PAN-OS versiones 7.1 anteriores a 7.1.26; PAN-OS versiones 8.0 anteriores a 8.0.21; PAN-OS versiones 8.1 anteriores a 8.1.12; PAN-OS versiones 9.0 anteriores a 9.0.6
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
23/06/2020

Vulnerabilidad en una petición en un nombre de archivo en el componente SD WAN de Palo Alto Networks PAN-OS Panorama (CVE-2020-2009)

Fecha de publicación:
13/05/2020
Idioma:
Español
Una vulnerabilidad de control externo de un nombre de archivo en el componente SD WAN de Palo Alto Networks PAN-OS Panorama, permite a un administrador autenticado enviar una petición que resulta en la creación y escritura de un archivo arbitrario en todos los firewalls administrados por el Panorama. En algunos casos, esto resulta en una ejecución de código arbitrario con permisos root. Este problema afecta: Todas las versiones de PAN-OS 7.1; PAN-OS versiones 8.1 anteriores a 8.1.14; PAN-OS versiones 9.0 anteriores a 9.0.7.
Gravedad CVSS v3.1: ALTA
Última modificación:
19/05/2020

Vulnerabilidad en el componente management server de PAN-OS (CVE-2020-2007)

Fecha de publicación:
13/05/2020
Idioma:
Español
Una vulnerabilidad de inyección de comandos de Sistema Operativo en el componente management server de PAN-OS, permite a un usuario autenticado ejecutar potencialmente comandos arbitrarios con privilegios root. Este problema afecta: Todas las versiones de PAN-OS 7.1; PAN-OS versiones 8.1 anteriores a 8.1.14; PAN-OS versiones 9.0 anteriores a 9.0.7.
Gravedad CVSS v3.1: ALTA
Última modificación:
19/05/2020

Vulnerabilidad en el componente management server de PAN-OS (CVE-2020-2006)

Fecha de publicación:
13/05/2020
Idioma:
Español
Una vulnerabilidad de desbordamiento de búfer en la región stack de la memoria en el componente management server de PAN-OS, que permite a un usuario autenticado ejecutar potencialmente código arbitrario con privilegios root. Este problema afecta: Todas las versiones de PAN-OS 7.1 y 8.0; PAN-OS versiones 8.1 anteriores a 8.1.14.
Gravedad CVSS v3.1: ALTA
Última modificación:
14/05/2020