Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la autenticación en SimpliSafe (CVE-2020-5727)

Fecha de publicación:

02/05/2020

Idioma:

Español

Una omisión de autenticación mediante el uso de una ruta o canal alterno en SimpliSafe versión de firmware 1.4 SS3, permite a un atacante local no autenticado emparejar un teclado malicioso con un sistema armado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/05/2020

Vulnerabilidad en la variable de entorno $HOME en los sistemas operativos Linux en chrome-launcher (CVE-2020-7645)

Fecha de publicación:

02/05/2020

Idioma:

Español

Todas las versiones de chrome-launcher, permiten una ejecución de comandos arbitrarios, mediante el control de la variable de entorno $HOME en los sistemas operativos Linux.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

08/06/2022

Vulnerabilidad en DTDs y External Entities en dom4j (CVE-2020-10683)

Fecha de publicación:

01/05/2020

Idioma:

Español

dom4j versiones anteriores a 2.0.3 y versiones 2.1.x anteriores a 2.1.3, permite DTDs y External Entities por defecto, lo que podría permitir ataques de tipo XXE. Sin embargo, existe una documentación externa popular de OWASP que muestra cómo habilitar el comportamiento seguro no predeterminado en cualquier aplicación que use dom4j.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/11/2023

Vulnerabilidad en HCL Connections (CVE-2019-4209)

Fecha de publicación:

01/05/2020

Idioma:

Español

HCL Connections versiones v5.5, v6.0 y v6.5, contienen una vulnerabilidad de redireccionamiento abierto que podría ser explotada por parte de un atacante para realizar ataques de phishing.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/05/2020

Vulnerabilidad en el componente endpoint_devicemap.php de Fonality Trixbox Community Edition (CVE-2020-7351)

Fecha de publicación:

01/05/2020

Idioma:

Español

Una vulnerabilidad de Inyección de Comandos del Sistema Operativo en el componente endpoint_devicemap.php de Fonality Trixbox Community Edition, permite a un atacante ejecutar comandos en el sistema operativo subyacente como el usuario "asterisk". Tome en cuenta que Trixbox Community Edition había sido incompatible por el proveedor desde 2012. Este problema afecta a: Fonality Trixbox Community Edition, versiones 1.2.0 hasta 2.8.0.4. Las versiones 1.0 y 1.1 no están afectadas.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/04/2022

Vulnerabilidad en un Punycode en una URL en Telegram Desktop, Telegram para Android y Telegram para iOS (CVE-2020-12474)

Fecha de publicación:

01/05/2020

Idioma:

Español

Telegram Desktop versiones hasta 2.0.1, Telegram versiones hasta 6.0.1 para Android y Telegram versiones hasta 6.0.1 para iOS, permiten un ataque de Homógrafo IDN por medio de un Punycode en una URL pública o una URL de invitación de chat grupal.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/07/2021

Vulnerabilidad en un paquete al puerto UDP 4800 en Moxa Service en Moxa NPort 5150A (CVE-2020-12117)

Fecha de publicación:

01/05/2020

Idioma:

Español

Moxa Service en Moxa NPort 5150A versiones de firmware 1.5 y anteriores, permite a atacantes obtener valores de configuración confidenciales por medio de un paquete diseñado al puerto UDP 4800. NOTA: Moxa Service es un servicio no autenticado que se ejecuta sobre una instalación por primera vez, pero puede ser desactivado sin efectos adversos.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/04/2022

Vulnerabilidad en la carga de archivos con un nombre especial en la sección Multimedia en WordPress. (CVE-2020-11026)

Fecha de publicación:

30/04/2020

Idioma:

Español

En las versiones afectadas de WordPress, los archivos con un nombre especialmente diseñado cuando se cargan en la sección Multimedia pueden conllevar a una ejecución de script al acceder al archivo. Esto requiere un usuario autenticado con privilegios para cargar archivos. Esto ha sido corregido en la versión 5.4.1, junto con todas las versiones afectadas anteriormente por medio de una versión menor (versiones 5.3.3, 5.2.6, 5.1.5, 5.0.9, 4.9.14, 4.8.13, 4.7.17, 4.6.18, 4.5.21, 4.4.22, 4.3.23, 4.2.27, 4.1.30, 4.0.30, 3.9.31, 3.8.33, 3.7.33).

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/03/2023

Vulnerabilidad en un enlace de restablecimiento de contraseña en el correo electrónico en WordPress (CVE-2020-11027)

Fecha de publicación:

30/04/2020

Idioma:

Español

En las versiones afectadas de WordPress, un enlace de restablecimiento de contraseña enviado por correo electrónico a un usuario no caduca tras cambiar la contraseña del usuario. Se necesitaría el acceso a la cuenta de correo electrónico del usuario por una parte maliciosa para una ejecución con éxito. Esto ha sido corregido en la versión 5.4.1, junto con todas las versiones afectadas anteriormente por medio de una versión menor (versiones 5.3.3, 5.2.6, 5.1.5, 5.0.9, 4.9.14, 4.8.13, 4.7.17, 4.6.18, 4.5.21, 4.4.22, 4.3.23, 4.2.27, 4.1.30, 4.0.30, 3.9.31, 3.8.33, 3.7.33).

Gravedad CVSS v3.1: ALTA

Última modificación:

20/06/2023

Vulnerabilidad en algunas publicaciones privadas en WordPress. (CVE-2020-11028)

Fecha de publicación:

30/04/2020

Idioma:

Español

En las versiones afectadas de WordPress, algunas publicaciones privadas, que anteriormente eran públicas, pueden resultar en una divulgación no autenticada bajo un conjunto específico de condiciones. Esto ha sido corregido en la versión 5.4.1, junto con todas las versiones afectadas anteriormente mediante una versión menor (5.3.3, 5.2.6, 5.1.5, 5.0.9, 4.9.14, 4.8.13, 4.7.17, 4.6.18, 4.5.21, 4.4.22, 4.3.23, 4.2.27, 4.1.30, 4.0.30, 3.9.31, 3.8.33, 3.7.33).

Gravedad CVSS v3.1: ALTA

Última modificación:

14/09/2021

Vulnerabilidad en el archivo class-wp-object-cache.php en el método stats() en WordPress (CVE-2020-11029)

Fecha de publicación:

30/04/2020

Idioma:

Español

En las versiones afectadas de WordPress, una vulnerabilidad en el método stats() del archivo class-wp-object-cache.php puede ser explotada para ejecutar un ataque de tipo cross-site scripting (XSS). Esto ha sido corregido en la versión 5.4.1, junto con todas las versiones afectadas anteriormente mediante una versión menor (versiones 5.3.3, 5.2.6, 5.1.5, 5.0.9, 4.9.14, 4.8.13, 4.7.17, 4.6.18, 4.5.21, 4.4.22, 4.3.23, 4.2.27, 4.1.30, 4.0.30, 3.9.31, 3.8.33, 3.7.33).

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/03/2023

Vulnerabilidad en las páginas o documentos protegidos con una contraseña compartida en los controles "Privacy" de Wagtail (CVE-2020-11037)

Fecha de publicación:

30/04/2020

Idioma:

Español

En Wagtail versiones anteriores a la versión 2.7.2 y 2.8.2, hay un posible ataque de sincronización en páginas o documentos que han sido protegidos con una contraseña compartida por medio de los controles "Privacy" de Wagtail. Esta comprobación de contraseña es realizada por medio de una comparación de cadena caracter por caracter, y que un atacante que sea capaz de medir el tiempo que toma esta comprobación con un alto grado de precisión podría utilizar las diferencias de sincronización para lograr conocer la contraseña. Es entendido que esto es factible en una red local, pero no sobre la Internet pública. La configuración de privacidad que restringe el acceso a páginas y documentos por usuario o por grupo (en lugar de una contraseña compartida) no están afectadas por esta vulnerabilidad. Esto ha sido parcheado en las versiones 2.7.3, 2.8.2, 2.9.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/11/2024

Suscribirse a Vulnerabilidades