Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el backend GnuTLS en systemd (CVE-2018-21029)

Fecha de publicación:
30/10/2019
Idioma:
Español
** EN DISPUTA ** systemd versiones 239 hasta la versión 245, acepta cualquier certificado firmado por parte de una autoridad de certificación de confianza para DNS Over TLS. La indicación de nombre de servidor (SNI) no se envía y no existe comprobación de nombre de host con el backend GnuTLS. NOTA: Esto ha sido discutido por el desarrollador como una vulnerabilidad, ya que la validación del hostname no tiene nada que ver con este problema (es decir, no hay ningún nombre de host que se envíe)
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/08/2024

Vulnerabilidad en Airflow (CVE-2019-12417)

Fecha de publicación:
30/10/2019
Idioma:
Español
Un usuario administrador malicioso podría editar el estado de los objetos en la base de datos de metadatos de Airflow para ejecutar JavaScript arbitrario en determinadas vistas de página. Esto también presentó una vulnerabilidad de Divulgación de Archivos Local en cualquier archivo legible por el proceso del servidor web.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en columnQuote en medoo. (CVE-2019-10762)

Fecha de publicación:
30/10/2019
Idioma:
Español
columnQuote en medoo versiones anteriores a 1.7.5, permite a atacantes remotos realizar una inyección SQL debido a un escape inapropiado.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
01/11/2019

Vulnerabilidad en la función ExplicitKeyTrustEvaluator en European Commission eIDAS-Node Integration Package (CVE-2019-18633)

Fecha de publicación:
30/10/2019
Idioma:
Español
European Commission eIDAS-Node Integration Package versiones anteriores a 2.3.1, no presenta comprobación de certificado porque un determinado valor de retorno de la función ExplicitKeyTrustEvaluator no es verificado NOTA: solo se confirma que la versión 2.1 está afectada.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/11/2019

Vulnerabilidad en una respuesta SAML en European Commission eIDAS-Node Integration Package (CVE-2019-18632)

Fecha de publicación:
30/10/2019
Idioma:
Español
European Commission eIDAS-Node Integration Package versiones anteriores a 2.3.1, permite la Falsificación de Certificados porque un atacante puede firmar una respuesta SAML manipulada con un certificado falsificado.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/11/2019

Vulnerabilidad en el script init en autokey. (CVE-2010-0398)

Fecha de publicación:
30/10/2019
Idioma:
Español
El script init en autokey versiones anteriores a 0.61.3-2, permite a atacantes locales escribir en archivos arbitrarios por medio de un ataque de tipo symlink.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/11/2024

Vulnerabilidad en el método ActiveX en el archivo RexViewerCtrl30.ocx (CVE-2019-17325)

Fecha de publicación:
30/10/2019
Idioma:
Español
ClipSoft REXPERT versiones 1.0.0.527 y anteriores, permite al atacante remoto cargar archivos locales arbitrarios por medio del método ActiveX en el archivo RexViewerCtrl30.ocx. Eso podría conllevar a una divulgación de información confidencial. Una interacción del usuario es requerida para explotar esta vulnerabilidad, en la que el objetivo necesita visitar una página web maliciosa.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/11/2019

Vulnerabilidad en un archivo HTML en una petición POST de HTTP en ClipSoft REXPERT. (CVE-2019-17324)

Fecha de publicación:
30/10/2019
Idioma:
Español
ClipSoft REXPERT versiones 1.0.0.527 y anteriores, permite un salto de directorio mediante la emisión de una petición POST de HTTP especial con caracteres ../. Esto podría conllevar a crear un archivo HTML malicioso, ya que pueden inyectar un contenido con una plantilla diseñada. Una interacción del usuario es requerida para explotar esta vulnerabilidad, en la que el objetivo necesita visitar una página web maliciosa.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/11/2019

Vulnerabilidad en una petición GET de HTTP en ClipSoft REXPERT. (CVE-2019-17326)

Fecha de publicación:
30/10/2019
Idioma:
Español
ClipSoft REXPERT versiones 1.0.0.527 y anteriores, permite al atacante remoto la eliminación de archivos arbitrarios mediante la emisión de una petición GET de HTTP con un parámetro especialmente diseñado. Una interacción del usuario es requerida para explotar esta vulnerabilidad, en la que el objetivo necesita visitar una página web maliciosa.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2021

Vulnerabilidad en un documento XML en la función report print del visualizador de rexpert en ClipSoft REXPERT. (CVE-2019-17323)

Fecha de publicación:
30/10/2019
Idioma:
Español
ClipSoft REXPERT versiones 1.0.0.527 y anteriores, permiten la creación y ejecución de archivos arbitrarios por medio de la función report print del visualizador rexpert con documento XML modificado. Una interacción del usuario es requerida para explotar esta vulnerabilidad, en la que el objetivo necesita visitar una página web maliciosa.
Gravedad CVSS v3.1: ALTA
Última modificación:
01/11/2019

Vulnerabilidad en la ruta del archivo de sesión de los datos de la respuesta HTTP en ClipSoft REXPERT. (CVE-2019-17321)

Fecha de publicación:
30/10/2019
Idioma:
Español
ClipSoft REXPERT versiones 1.0.0.527 y anteriores, presenta un problema de divulgación de información. Cuando se solicita una página web asociada con la sesión, podría filtrarse el nombre de usuario por medio de la ruta del archivo de sesión de los datos de la respuesta HTTP. No es requerida una autenticación.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/11/2019

Vulnerabilidad en la interfaz web en los sistemas Hunt CCTV, Capture CCTV, Hachi CCTV, NoVus CCTV y Well-Vision Inc DVR. (CVE-2013-1391)

Fecha de publicación:
30/10/2019
Idioma:
Español
La vulnerabilidad de omisión de autenticación en la interfaz web en los sistemas Hunt CCTV, Capture CCTV, Hachi CCTV, NoVus CCTV y Well-Vision Inc DVR, permite a un atacante remoto recuperar la configuración del dispositivo.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/11/2019