Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en xpress-cart (CVE-2018-16483)

Fecha de publicación:
01/02/2019
Idioma:
Español
Una deficiencia en el control de acceso en xpress-cart, en la versión 1.1.5 y anteriores, permite a los usuarios sin privilegios añadir a nuevos usuarios a la aplicación como administrador.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/08/2020

Vulnerabilidad en LCDS Laquis SCADA (CVE-2018-18988)

Fecha de publicación:
01/02/2019
Idioma:
Español
LCDS Laquis SCADA, en versiones anteriores a la 4.1.0.4150, permite la ejecución de código script abriendo un archivo de formato de informe especialmente manipulado. Esto podría permitir la ejecución remota de código, la exfiltración de datos o provocar el cierre inesperado del sistema.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/10/2019

Vulnerabilidad en el kernel de Linux (CVE-2016-10741)

Fecha de publicación:
01/02/2019
Idioma:
Español
En el kernel de Linux, en versiones anteriores a la 4.9.3, "fs/xfs/xfs_aops.c" permite a los usuarios locales provocar una denegación de servicio (cierre inesperado del sistema) debido a que hay una condición de carrera entre el I/O directo y el mapeado con la memoria (asociado con un agujero) que se maneja con BUG_ON en vez de un fallo I/O.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/04/2019

Vulnerabilidad en Clustered Data ONTAP (CVE-2018-5498)

Fecha de publicación:
01/02/2019
Idioma:
Español
Clustered Data ONTAP, desde la versión 9.0 hasta la 9.4, es susceptible a una vulnerabilidad que permite a los atacantes autenticados de manera remota provocar una vulnerabilidad de denegación de servicio (DoS) en entornos NFS y SMB. La explotación de esta vulnerabilidad permitirá a un atacante remoto autenticado causar una denegación de servicio (DoS) en las versiones afectadas de Clustered Data ONTAP que estén configuradas para el acceso multiprotocolo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/02/2019

Vulnerabilidad en Avaya Aura Communication Manager (CVE-2018-15617)

Fecha de publicación:
01/02/2019
Idioma:
Español
Una vulnerabilidad en el componente del proceso "capro" (Call Processor, procesador de llamadas) de Avaya Aura Communication Manager podría permitir a un usuario remoto no autenticado provocar una denegación de servicio (DoS). Las versiones afectadas incluyen las 6.3.x, las 7.x anteriores a la 7.1.3.2 y las 8.x anteriores a la 8.0.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/10/2019

Vulnerabilidad en McAfee ePO (legacy) Cloud (CVE-2019-3604)

Fecha de publicación:
01/02/2019
Idioma:
Español
Una vulnerabilidad de Cross-Site Request Forgery (CSRF) en McAfee ePO (legacy) Cloud permite a los usuarios no autenticados realizar acciones ePO no deseadas, utilizando la sesión de un usuario autenticado mediante vectores sin especificar.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en Pylons Colander (CVE-2017-18361)

Fecha de publicación:
01/02/2019
Idioma:
Español
En Pylons Colander, hasta la versión 1.6, el validador de URL permite a un atacante provocar un bucle infinito, lo que conduce a una denegación de servicio (DoS) mediante un paréntesis no cerrado.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/10/2019

Vulnerabilidad en Artica Proxy (CVE-2019-7300)

Fecha de publicación:
01/02/2019
Idioma:
Español
Artica Proxy 3.06.200056 permite a los atacantes remotos ejecutar comandos arbitrarios como "root" mediante la lectura de los campos ldap_admin y ldap_password en "ressources/settings.inc" y utilizando estas credenciales en logon.php y luego introduciendo dichos comandos en el campo command-line de admin.index.php.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/08/2020

Vulnerabilidad en Zen Load Balancer (CVE-2019-7301)

Fecha de publicación:
01/02/2019
Idioma:
Español
La versión 3.10.1 de Zen Load Balancer permite a los usuarios administradores autenticados de manera remota ejecutar comandos arbitrarios como "root" mediante metacaracteres shell en el parámetro certname en "index.cgi?action=View_Cert".
Gravedad CVSS v3.1: ALTA
Última modificación:
24/08/2020

Vulnerabilidad en dispositivos D-Link (CVE-2019-7298)

Fecha de publicación:
01/02/2019
Idioma:
Español
Se ha descubierto un problema en dispositivos D-Link DIR-823G con versiones de firmware hasta la 1.02B03. Una vulnerabilidad de inyección de comandos permite a los atacantes ejecutar comandos arbitrarios del sistema operativo mediante una petición /HNAP1 manipulada. Esto ocurre cuando cualquier función API HNAP provoca una llamada a la función "system" con entradas no fiables del cuerpo "request", como el cuerpo de "/bin/telnetd" para la función API "GetDeviceSettingsset". En consecuencia, un atacante puede ejecutar cualquier comando de manera remota cuando controla estas entradas.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/02/2019

CVE-2018-15779

Fecha de publicación:
01/02/2019
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: none. Reason: This candidate was in a CNA pool that was not assigned to any issues during 2018. Notes: none
Gravedad: Pendiente de análisis
Última modificación:
07/11/2023

Vulnerabilidad en dispositivos D-Link (CVE-2019-7297)

Fecha de publicación:
31/01/2019
Idioma:
Español
Se ha descubierto un problema en dispositivos D-Link DIR-823G con firmware hasta la versión 1.02B03. Una vulnerabilidad de inyección de comandos permite que los atacantes ejecuten comandos arbitrarios del sistema operativo mediante metacaracteres shell en una petición /HNAP1 manipulada. Esto ocurre cuando la función GetNetworkTomographyResult llama a la función del sistema con un parámetro de entrada no fiable llamado Address. Como consecuencia, un atacante puede ejecutar cualquier comando de forma remota cuando controla esta entrada.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
26/04/2023