Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en un archivo en el comando MP4Box en la función gf_hinter_track_new en GPAC (CVE-2021-31261)
Fecha de publicación:
19/04/2021
Idioma:
Español
La función gf_hinter_track_new en GPAC versión 1.0.1, permite a atacantes leer la memoria por medio de un archivo diseñado en el comando MP4Box
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/04/2021

Vulnerabilidad en un archivo en la función abst_box_read en MP4Box en GPAC (CVE-2021-31255)
Fecha de publicación:
19/04/2021
Idioma:
Español
Un desbordamiento del búfer en la función abst_box_read en MP4Box en GPAC versión 1.0.1, permite a atacantes causar una denegación de servicio o ejecutar código arbitrario por medio de un archivo diseñado
Gravedad CVSS v3.1: ALTA
Última modificación:
21/04/2021

Vulnerabilidad en un archivo en el comando MP4Box la función HintFile en GPAC (CVE-2021-31257)
Fecha de publicación:
19/04/2021
Idioma:
Español
La función HintFile en GPAC versión 1.0.1, permite a atacantes causar una denegación de servicio (desreferencia del puntero NULL) por medio de un archivo diseñado en el comando MP4Box
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/04/2021

Vulnerabilidad en un archivo tamaños IV en la función tenc_box_read en MP4Box en GPAC (CVE-2021-31254)
Fecha de publicación:
19/04/2021
Idioma:
Español
Un desbordamiento de búfer en la función tenc_box_read en MP4Box en GPAC versión 1.0.1, permite a atacantes causar una denegación de servicio o ejecutar código arbitrario por medio de un archivo diseñado, relacionado tamaños IV no válidos
Gravedad CVSS v3.1: ALTA
Última modificación:
22/04/2021

Vulnerabilidad en un archivo en la función stbl_GetSampleInfos en MP4Box en GPAC (CVE-2021-31256)
Fecha de publicación:
19/04/2021
Idioma:
Español
Una pérdida de memoria en la función stbl_GetSampleInfos en MP4Box en GPAC versión 1.0.1, permite a atacantes leer la memoria por medio de un archivo diseñado
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/05/2022

Vulnerabilidad en un archivo de imagen en Exiv2 (CVE-2021-29458)
Fecha de publicación:
19/04/2021
Idioma:
Español
Exiv2 es una utilidad de línea de comandos y una biblioteca C++ para leer, escribir, eliminar y modificar los metadatos de archivos de imagen. Se encontró una lectura fuera de límites en Exiv2 versiones v0.27.3 y anteriores. La lectura fuera de límites es desencadenada cuando Exiv2 es usado para escribir metadatos en un archivo de imagen diseñado. Un atacante podría explotar potencialmente la vulnerabilidad para causar una denegación de servicio al bloquear Exiv2, si puede engañar a la víctima para ejecutar Exiv2 en un archivo de imagen diseñado. Note que este bug solo es desencadenado al escribir los metadatos, que es una operación Exiv2 que es usada con menos frecuencia que la lectura de los metadatos. Por ejemplo, para desencadenar el bug en la aplicación de línea de comandos Exiv2, debe agregar un argumento de línea de comando adicional como insert. El bug es corregido en versión v0.27.4
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/12/2023

Vulnerabilidad en la interfaz de administración en una petición POST en Wagtail (CVE-2021-29434)
Fecha de publicación:
19/04/2021
Idioma:
Español
Wagtail es un sistema de gestión de contenido de Django. En las versiones afectadas de Wagtail, al guardar el contenido de un campo de texto enriquecido en la interfaz de administración, Wagtail no aplica comprobaciones del lado del servidor para garantizar a las URL de los enlaces usar un protocolo válido. Un usuario malicioso con acceso a la interfaz de administración podría entonces diseñar una petición POST para publicar contenido con URLs "javascript:" que contengan código arbitrario. La vulnerabilidad no es explotable por un visitante ordinario del sitio sin acceso al administrador de Wagtail. Véase el aviso de GitHub al que se hace referencia para obtener detalles adicionales, incluyendo una solución alternativa. Las versiones parcheadas ha sido lanzadas como Wagtail versión 2.11.7 (para la rama LTS 2.11) y Wagtail versión 2.12.4 (para la rama 2.12 actual)
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/04/2021

Vulnerabilidad en la firma de JSON Web Tokens en Grassroot Platform (CVE-2021-29455)
Fecha de publicación:
19/04/2021
Idioma:
Español
Grassroot Platform es una aplicación que hace que sea más rápido, más barato y más fácil organizar y movilizar persistentemente a las personas en comunidades de bajos ingresos. Grassroot Platform versiones anteriores a la implementación maestra a partir del 16-04-2021, no comprobaba apropiadamente la firma de JSON Web Tokens al actualizar un JWT existente. Esto permite falsificar un JWT válido. El problema ha sido parcheado en versión 1.3.1, al desaprobar la función de actualización de JWT, que era una desaprobación vencida independientemente (el flujo de "refresh" ya no es usado)
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/04/2021

Vulnerabilidad en un archivo de imagen en Exiv2 (CVE-2021-29457)
Fecha de publicación:
19/04/2021
Idioma:
Español
Exiv2 es una utilidad de línea de comandos y una biblioteca C++ para leer, escribir, eliminar y modificar los metadatos de archivos de imagen. Se encontró un desbordamiento del búfer de pila en Exiv2 versiones v0.27.3 y anteriores. El desbordamiento de la pila es desencadenado cuando es usado Exiv2 para escribir metadatos en un archivo de imagen diseñado. Un atacante podría explotar potencialmente la vulnerabilidad para obtener una ejecución de código, si puede engañar a la víctima para que ejecute Exiv2 en un archivo de imagen diseñado. Note que este bug solo es desencadenado cuando _writing_ los metadatos, que es una operación Exiv2 que es usada con menos frecuencia que _reading_ los metadatos. Por ejemplo, para desencadenar el bug en la aplicación de línea de comandos Exiv2, debe agregar un argumento de línea de comando adicional como "insert". El bug es corregido en versión v0.27.4
Gravedad CVSS v3.1: ALTA
Última modificación:
22/12/2023

Vulnerabilidad en el procesamiento de thumbnailing en matrix-media-repo (CVE-2021-29453)
Fecha de publicación:
19/04/2021
Idioma:
Español
matrix-media-repo es un repositorio de medios multidominio de código abierto para Matrix. Versiones 1.2.6 y anteriores de matrix-media-repo, no manejan apropiadamente imágenes maliciosas que son diseñadas para ser de tamaño pequeño pero de gran complejidad. Un usuario malicioso podría cargar una imagen relativamente pequeña en términos de tamaño de archivo, usando formatos de imagen particulares, que se expande para tener dimensiones extremadamente grandes durante el proceso de thumbnailing. El servidor puede ser agotado de la memoria en el proceso de intentar cargar la imagen completa en la memoria por un thumbnailing, conllevando a una denegación de servicio. Versión 1.2.7 contiene una corrección para la vulnerabilidad
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/08/2022

Vulnerabilidad en IBM Resilient SOAR (CVE-2021-20527)
Fecha de publicación:
19/04/2021
Idioma:
Español
IBM Resilient SOAR versión V38.0, podría permitir a un usuario privilegiado crear scripts maliciosos que podrían ser ejecutados como otro usuario. IBM X-Force ID: 198759
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2021

Vulnerabilidad en archivos DLL en Autodesk FBX Review (CVE-2021-27028)
Fecha de publicación:
19/04/2021
Idioma:
Español
Una vulnerabilidad de Corrupción de Memoria en Autodesk FBX Review versión 1.5.0 y anteriores, puede conllevar a una ejecución de código remota a través de archivos DLL diseñados maliciosamente
Gravedad CVSS v3.1: ALTA
Última modificación:
16/09/2021
Suscribirse a Vulnerabilidades