Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en las contraseñas almacenadas en texto plano dentro de la configuración del software SICK Package Analytics (CVE-2020-2078)

Fecha de publicación:
29/07/2020
Idioma:
Español
Las contraseñas son almacenadas en texto plano dentro de la configuración del software SICK Package Analytics versiones hasta V04.1.1 incluyéndola. Un atacante autorizado podría acceder a estas credenciales de texto plano almacenadas y conseguir acceso al servicio ftp. El almacenamiento de una contraseña en texto plano permite a atacantes acceder fácilmente a los sistemas, comprometiendo potencialmente la información personal u otra información confidencial
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/08/2020

Vulnerabilidad en la API REST en una configuración de permisos en el software SICK Package Analytics (CVE-2020-2077)

Fecha de publicación:
29/07/2020
Idioma:
Español
El software SICK Package Analytics versiones hasta V04.0.0 incluyéndola, es vulnerable debido a una configuración de permisos predeterminada incorrecta. Un atacante no autorizado podría leer datos confidenciales del sistema al consultar archivos conocidos usando la API REST directamente
Gravedad CVSS v3.1: ALTA
Última modificación:
03/08/2020

Vulnerabilidad en la API REST en el software SICK Package Analytics (CVE-2020-2076)

Fecha de publicación:
29/07/2020
Idioma:
Español
El software SICK Package Analytics versiones hasta V04.0.0 incluyéndola, es vulnerable a una omisión de autenticación al interactuar directamente con la API REST. Un atacante puede enviar peticiones no autorizadas, omitir los controles de autenticación actuales presentados por la aplicación y podría escribir archivos sin autenticación
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/07/2021

Vulnerabilidad en Magento (CVE-2020-9691)

Fecha de publicación:
29/07/2020
Idioma:
Español
Magento versiones 2.3.5-p1 y anteriores, y versiones 2.3.5-p1 y anteriores, presentan una vulnerabilidad de tipo cross-site scripting basada en dom. Una explotación con éxito podría conllevar a una ejecución de código arbitrario
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
29/07/2020

Vulnerabilidad en la sintaxis SQL para escribir archivos en OpenClinic GA (CVE-2020-14493)

Fecha de publicación:
29/07/2020
Idioma:
Español
Un usuario poco privilegiado puede usar la sintaxis SQL para escribir archivos arbitrarios en el servidor OpenClinic GA versiones 5.09.02 y 5.89.05b, lo que puede permitir una ejecución de comandos arbitrarios
Gravedad CVSS v3.1: ALTA
Última modificación:
30/07/2020

Vulnerabilidad en una entrada controlable por usuario en OpenClinic GA (CVE-2020-14492)

Fecha de publicación:
29/07/2020
Idioma:
Español
OpenClinic GA versiones 5.09.02 y 5.89.05b, no neutraliza apropiadamente una entrada controlable por usuario, lo que puede permitir una ejecución de código malicioso dentro del navegador del usuario
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/07/2020

Vulnerabilidad en archivos locales en OpenClinic GA (CVE-2020-14490)

Fecha de publicación:
29/07/2020
Idioma:
Español
OpenClinic GA versiones 5.09.02 y 5.89.05b, incluye archivos locales arbitrarios especificados dentro de su parámetro y ejecuta algunos archivos, lo que puede permitir una divulgación de archivos confidenciales o una ejecución de archivos maliciosos cargados
Gravedad CVSS v3.1: ALTA
Última modificación:
30/07/2020

Vulnerabilidad en Magento (CVE-2020-9690)

Fecha de publicación:
29/07/2020
Idioma:
Español
Magento versiones 2.3.5-p1 y anteriores, y versiones 2.3.5-p1 y anteriores, presentan una vulnerabilidad de discrepancia de sincronización observable. Una explotación con éxito podría conllevar a una omisión de comprobación de firma
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/07/2020

Vulnerabilidad en Magento (CVE-2020-9689)

Fecha de publicación:
29/07/2020
Idioma:
Español
Magento versiones 2.3.5-p1 y anteriores, y versiones 2.3.5-p1 y anteriores, presentan una vulnerabilidad de salto de ruta. Una explotación con éxito podría conllevar a una ejecución de código arbitrario
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/07/2020

Vulnerabilidad en Magento (CVE-2020-9692)

Fecha de publicación:
29/07/2020
Idioma:
Español
Magento versiones 2.3.5-p1 y anteriores, y versiones 2.3.5-p1 y anteriores presentan una vulnerabilidad de omisión de mitigación de seguridad. Una explotación con éxito podría conllevar a una ejecución de código arbitrario
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/07/2021

Vulnerabilidad en la variable _data en el paquete mock2easy (CVE-2020-7697)

Fecha de publicación:
29/07/2020
Idioma:
Español
Esto afecta a todas las versiones del paquete mock2easy. Un usuario malicioso podría inyectar comandos por medio de la variable _data: Área Afectada require('../server/getJsonByCurl')(mock2easy, function (error, stdout) { if (error) { return res.json(500, error); } res.json(JSON.parse(stdout)); }, '', _data.interfaceUrl, query, _data.cookie,_data.interfaceType)
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/07/2021

Vulnerabilidad en el endpoint project_configure en el paquete Gerapy (CVE-2020-7698)

Fecha de publicación:
29/07/2020
Idioma:
Español
Esto afecta al paquete Gerapy desde 0 y versiones anteriores a 0.9.3. La entrada que esta siendo pasada a Popen, por medio del endpoint project_configure no es saneada
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/07/2021