Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en los módulos de CPU de la serie MELSEC iQ-R de Mitsubishi Electric (CVE-2021-20598)

Fecha de publicación:

06/08/2021

Idioma:

Español

Una vulnerabilidad del Mecanismo de Bloqueo de Cuentas Demasiado Restrictivo en los módulos de CPU de la serie MELSEC iQ-R de Mitsubishi Electric (R08/16/32/120SFCPU todas las versiones, R08/16/32/120PSFCPU todas las versiones) permite a un atacante remoto no autenticado bloquear a un usuario legítimo al intentar iniciar sesión continuamente con una contraseña incorrecta

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/08/2021

Vulnerabilidad en los módulos CPU de la serie MELSEC iQ-R de Mitsubishi Electric (CVE-2021-20594)

Fecha de publicación:

06/08/2021

Idioma:

Español

La exposición de información sensible a un actor no autorizado es una vulnerabilidad en los módulos de CPU de seguridad de la serie MELSEC iQ-R de Mitsubishi Electric R08/16/32/120SFCPU, versiones de firmware "26" y anteriores, y en los módulos de CPU de proceso SIL2 de la serie MELSEC iQ-R de Mitsubishi Electric R08/16/32/120PSFCPU, todas las versiones, que permite a un atacante remoto no autenticado adquirir nombres de usuario legítimos registrados en el módulo mediante un ataque de fuerza bruta a los nombres de usuario

Gravedad CVSS v3.1: ALTA

Última modificación:

24/05/2024

Vulnerabilidad en los módulos CPU de la serie MELSEC iQ-R de Mitsubishi Electric (CVE-2021-20597)

Fecha de publicación:

06/08/2021

Idioma:

Español

La vulnerabilidad de credenciales insuficientemente protegidas en los módulos de CPU de seguridad de la serie MELSEC iQ-R de Mitsubishi Electric R08/16/32/120SFCPU, versiones de firmware "26" y anteriores, y en los módulos de CPU de proceso SIL2 de la serie MELSEC iQ-R de Mitsubishi Electric R08/16/32/120PSFCPU, todas las versiones, permite que un atacante remoto no autenticado inicie sesión en el objetivo de forma no autorizada mediante el olfateo del tráfico de red y la obtención de credenciales al registrar información de usuario en el objetivo o al cambiar una contraseña

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/05/2024

Vulnerabilidad en el parámetro quicksearch en el archivo \lib\packages\comments\comments.php en Naviwebs Navigate CMS (CVE-2021-36455)

Fecha de publicación:

06/08/2021

Idioma:

Español

Una vulnerabilidad de inyección SQL en Naviwebs Navigate CMS versión 2.9, por medio del parámetro quicksearch en el archivo \lib\packages\comments\comments.php

Gravedad CVSS v3.1: ALTA

Última modificación:

13/08/2021

Vulnerabilidad en el parámetro navigate-quickse en la función initial_url en diversos archivos en Naviwebs Navigate Cms (CVE-2021-36454)

Fecha de publicación:

06/08/2021

Idioma:

Español

Una vulnerabilidad de tipo Cross Site Scripting (XSS) en Naviwebs Navigate Cms versión 2.9, por medio del parámetro navigate-quickse en los archivos 1) backups\backups.php, 2) blocks\blocks.php, 3) brands\brands.php, 4) comments\comments.php, 5) coupons\coupons.php, 6) feeds\feeds.php, 7) functions\functions.php, 8) items\items.php, 9) menus\menus.php, 10) orders\orders. php, 11) payment_methods\payment_methods.php, 12) products\products.php, 13) profiles\profiles.php, 14) shipping_methods\shipping_methods.php, 15) templates\templates.php, 16) users\users.php, 17) webdictionary\webdictionary.php, 18) websites\websites.php, y 19) webusers\webusers.php porque la función initial_url está integrada en estos archivos

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/08/2021

Vulnerabilidad en NetApp Cloud Manager (CVE-2021-26998)

Fecha de publicación:

06/08/2021

Idioma:

Español

NetApp Cloud Manager versiones anteriores a 3.9.9, registran información confidencial que sólo está disponible para usuarios autenticados. Los clientes con la actualización automática habilitada deberían estar ya en una versión corregida, mientras que a los clientes que usan conectores locales con la actualización automática deshabilitada se les aconseja que actualicen a una versión corregida

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/06/2022

Vulnerabilidad en una conexión Active Directory en NetApp Cloud Manager (CVE-2021-26999)

Fecha de publicación:

06/08/2021

Idioma:

Español

NetApp Cloud Manager versiones anteriores a 3.9.9, registran información confidencial cuando comete un fallo una conexión Active Directory. La información registrada sólo está disponible para usuarios autenticados. Los clientes con la actualización automática habilitada deberían estar ya en una versión corregida, mientras que a los clientes que usan conectores locales con la actualización automática deshabilitada se les aconseja que actualicen a una versión corregida

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/06/2022

Vulnerabilidad en el envío de una petición HTTP en PKI Security Solution of Dream Security (CVE-2021-26606)

Fecha de publicación:

06/08/2021

Idioma:

Español

Una vulnerabilidad en PKI Security Solution of Dream Security podría permitir una ejecución de comandos arbitraria. Esta vulnerabilidad es debido a una comprobación insuficiente del certificado de autorización. Un atacante podría explotar esta vulnerabilidad mediante el envío de una petición HTTP diseñada a un programa afectado. Una explotación con éxito podría permitir al atacante ejecutar remotamente código arbitrario en un sistema de destino

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/08/2021

Vulnerabilidad en el parámetro snap_file en el endpoint de la API HTTP /it-IT/splunkd/__raw/services/get_snapshot en Corero SecureWatch Managed Services (CVE-2021-38136)

Fecha de publicación:

06/08/2021

Idioma:

Español

Corero SecureWatch Managed Services versión 9.7.2.0020, está afectado por una vulnerabilidad de Salto de Ruta por medio del parámetro snap_file en el endpoint de la API HTTP /it-IT/splunkd/__raw/services/get_snapshot. Un atacante poco privilegiado puede leer cualquier archivo en el host de destino

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/08/2021

Vulnerabilidad en Corero SecureWatch Managed Services (CVE-2021-38137)

Fecha de publicación:

06/08/2021

Idioma:

Español

Corero SecureWatch Managed Services versión 9.7.2.0020, no comprueba correctamente los privilegios de los usuarios swa-monitor y cns-monitor, permitiendo a un usuario llevar a cabo acciones que no pertenecen a su rol

Gravedad CVSS v3.1: ALTA

Última modificación:

12/07/2022