Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Vyper (CVE-2022-24787)

Fecha de publicación:
04/04/2022
Idioma:
Español
Vyper es un Lenguaje de Contratos Inteligentes de Python para la Máquina Virtual de Ethereum. En versiones 0.3.1 y anteriores, las cadenas de bytes pueden presentar bytes sucios, resultando en que las comparaciones palabra por palabra den resultados incorrectos. Incluso sin bytes sucios distintos de cero, dos bytestrings pueden compararse como iguales si uno termina con "\x00" porque no se presenta comparación de la longitud. Se presenta un parche disponible y es esperado que forme parte de la versión 0.3.2. Actualmente no se presentan medidas de mitigación conocidas
Gravedad CVSS v3.1: ALTA
Última modificación:
02/08/2023

Vulnerabilidad en Subrion CMS (CVE-2021-43464)

Fecha de publicación:
04/04/2022
Idioma:
Español
Se presenta una vulnerabilidad de Ejecución de Código Remoto (RCE) en Subrion CMS versión 4.2.1, por medio de código modificado en un campo de fondo; cuando la información es modificada, los datos en ella serán ejecutados mediante eval()
Gravedad CVSS v3.1: ALTA
Última modificación:
12/04/2022

Vulnerabilidad en el repositorio de GitHub janeczku/calibre-web (CVE-2022-0990)

Fecha de publicación:
04/04/2022
Idioma:
Español
Una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el repositorio de GitHub janeczku/calibre-web versiones anteriores a 0.6.18
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
19/11/2024

Vulnerabilidad en Moment.js (CVE-2022-24785)

Fecha de publicación:
04/04/2022
Idioma:
Español
Moment.js es una librería de fechas en JavaScript para analizar, comprobar, manipular y formatear fechas. Una vulnerabilidad de salto de ruta afecta a usuarios de npm (servidor) de Moment.js entre las versiones 1.0.1 y 2.29.1, especialmente si es usada directamente una cadena de configuración regional proporcionada por el usuario para cambiar la configuración regional de Moment. Este problema está parcheado en la versión 2.29.2, y el parche puede aplicarse a todas las versiones afectadas. Como medida de mitigación, sanee el nombre de la configuración regional proporcionada por el usuario antes de pasarlo a Moment.js
Gravedad CVSS v3.1: ALTA
Última modificación:
03/11/2025

Vulnerabilidad en los paquetes en $files = Dir::getList($decompath. "/ Upload/Plugins / en HisiPHP (CVE-2020-28062)

Fecha de publicación:
04/04/2022
Idioma:
Español
Se presenta una vulnerabilidad de Control de Acceso en HisiPHP versión 2.0.11, por medio de paquetes especiales que son construidos en $files = Dir::getList($decompath. "/ Upload/Plugins /, lo que podría permitir a un usuario remoto malicioso ejecutar código arbitrario
Gravedad CVSS v3.1: ALTA
Última modificación:
12/04/2022

Vulnerabilidad en el tema Noo JobMonster de WordPress (CVE-2022-1170)

Fecha de publicación:
04/04/2022
Idioma:
Español
En el tema Noo JobMonster de WordPress versiones anteriores a 4.5.2.9, JobMonster se presenta una vulnerabilidad de tipo XSS como la entrada para el formulario de búsqueda es proporcionada mediante peticiones GET sin sanear
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/04/2022

Vulnerabilidad en Careerfy (CVE-2022-1169)

Fecha de publicación:
04/04/2022
Idioma:
Español
Se presenta una vulnerabilidad de tipo XSS en Careerfy
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/04/2022

Vulnerabilidad en el plugin JobSearch WP JobSearch de WordPress (CVE-2022-1168)

Fecha de publicación:
04/04/2022
Idioma:
Español
Se presenta una vulnerabilidad de tipo Cross-Site Scripting en el plugin JobSearch WP JobSearch de WordPress versiones anteriores a 1.5.1
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/04/2022

Vulnerabilidad en la funcionalidad business search en el tema Wyzi (CVE-2022-1164)

Fecha de publicación:
04/04/2022
Idioma:
Español
El tema Wyzi fue afectado por vulnerabilidades de tipo XSS reflejadas en la funcionalidad business search
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/04/2022

Vulnerabilidad en los parámetros filter en el tema CareerUp Careerup de WordPress (CVE-2022-1167)

Fecha de publicación:
04/04/2022
Idioma:
Español
Se presenta una vulnerabilidad de tipo Cross-Site Scripting (XSS) Reflejado sin autenticación en el tema CareerUp Careerup de WordPress versiones hasta 2.3.1, por medio de los parámetros filter
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en el atributo selected_icons del cnss_widget en el plugin Easy Social Icons de WordPress (CVE-2022-0887)

Fecha de publicación:
04/04/2022
Idioma:
Español
El plugin Easy Social Icons de WordPress versiones hasta 3.1.4, no sanea el atributo selected_icons del cnss_widget antes de usarlo en una sentencia SQL, conllevando a una vulnerabilidad de inyección SQL
Gravedad CVSS v3.1: ALTA
Última modificación:
11/04/2022

Vulnerabilidad en REQUEST_URI en los plugins Ad Inserter Free y Pro de WordPress (CVE-2022-0901)

Fecha de publicación:
04/04/2022
Idioma:
Español
Los plugins Ad Inserter Free y Pro de WordPress versiones anteriores a 2.7.12, no sanean y escapan REQUEST_URI antes de devolverlo a una página de administración, lo que conlleva a un ataque de tipo Cross-Site Scripting Reflejado en navegadores que no codifican caracteres
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/04/2022