Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la biblioteca lib/packages/feeds/feed.class.php en Navigate CMS (CVE-2020-13798)
Fecha de publicación:
03/06/2020
Idioma:
Español
Se detectó un problema en Navigate CMS versiones hasta 2.8.7. Permite un ataque de tipo XSS debido a una falta de llamadas de purificación en la biblioteca lib/packages/feeds/feed.class.php
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/06/2020

Vulnerabilidad en la biblioteca lib/packages/websites/website.class.php en Navigate CMS (CVE-2020-13797)
Fecha de publicación:
03/06/2020
Idioma:
Español
Se detectó un problema en Navigate CMS versiones hasta 2.8.7. Permite un ataque de tipo XSS debido a una falta de llamadas de purificación en la biblioteca lib/packages/websites/website.class.php
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/06/2020

Vulnerabilidad en la biblioteca lib/packages/structure/structure.class.php en Navigate CMS (CVE-2020-13796)
Fecha de publicación:
03/06/2020
Idioma:
Español
Se detectó un problema en Navigate CMS versiones hasta 2.8.7. Permite un ataque de tipo XSS debido a una falta de llamadas de purificación en la biblioteca lib/packages/structure/structure.class.php
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/06/2020

Vulnerabilidad en la biblioteca lib/packages/templates/template.class.php en las subcadenas ../ y ..\ en Navigate CMS (CVE-2020-13795)
Fecha de publicación:
03/06/2020
Idioma:
Español
Se detectó un problema en Navigate CMS versiones hasta 2.8.7. Permite un Salto de Directorio porque la biblioteca lib/packages/templates/template.class.php maneja inapropiadamente las subcadenas ../ y ..\
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/06/2020

Vulnerabilidad en el permiso "cms.manage_assets" en un servidor de OctoberCMS (CVE-2020-5295)
Fecha de publicación:
03/06/2020
Idioma:
Español
En OctoberCMS (paquete de compositor october/october) versiones desde 1.0.319 y anteriores a 1.0.466, un atacante puede explotar esta vulnerabilidad para leer archivos locales de un servidor de October CMS. La vulnerabilidad solo es explotable por un usuario de backend autenticado con el permiso "cms.manage_assets". El problema ha sido parcheado en Build 466 (versión v1.0.466)
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/06/2022

Vulnerabilidad en el permiso "cms.manage_assets" en un servidor de OctoberCMS (CVE-2020-5296)
Fecha de publicación:
03/06/2020
Idioma:
Español
En OctoberCMS (paquete de compositor october/october) versiones desde 1.0.319 y anteriores a 1.0.466, un atacante puede explotar esta vulnerabilidad para eliminar archivos locales arbitrarios de un servidor de October CMS. La vulnerabilidad solo es explotable por un usuario de backend autenticado con el permiso "cms.manage_assets". El problema ha sido parcheado en Build 466 (versión v1.0.466)
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/06/2022

Vulnerabilidad en el permiso "cms.manage_assets" en un servidor de OctoberCMS (paquete de compositor october/october) (CVE-2020-5297)
Fecha de publicación:
03/06/2020
Idioma:
Español
En OctoberCMS (paquete de compositor october/october) versiones desde 1.0.319 y anteriores a 1.0.466, un atacante puede explotar esta vulnerabilidad para cargar archivos jpg, jpeg, bmp, png, webp, gif, ico, css, js, woff, woff2, svg, ttf, eot, json, md, less, sass, scss, xml hacia cualquier directorio de un servidor de October CMS. La vulnerabilidad solo es explotable por un usuario de backend autenticado con el permiso "cms.manage_assets". El problema ha sido parcheado en Build 466 (versión v1.0.466)
Gravedad CVSS v3.1: BAJA
Última modificación:
30/06/2022

Vulnerabilidad en un archivo CSV en la funcionalidad import en la función "ImportExportController" en OctoberCMS (paquete de compositor october/october) (CVE-2020-5298)
Fecha de publicación:
03/06/2020
Idioma:
Español
En OctoberCMS (paquete de compositor october/october) versiones desde 1.0.319 y anteriores a 1.0.466, un usuario con la habilidad de usar la funcionalidad import del comportamiento de la función "ImportExportController" puede ser ingeniería social por parte de un atacante para descargar un archivo CSV malicioso que podría resultar en un ataque de tipo XSS reflejado en el usuario en cuestión. El problema ha sido parcheado en el Build 466 (versión v1.0.466)
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/06/2022

Vulnerabilidad en un archivo CSV desde la función "ImportExportController" en OctoberCMS (paquete de compositor october/october) (CVE-2020-5299)
Fecha de publicación:
03/06/2020
Idioma:
Español
En OctoberCMS (paquete de compositor october/october) versiones desde 1.0.319 y anteriores a 1.0.466, cualquier usuario con la capacidad de modificar cualquier información que eventualmente podría ser exportada como un archivo CSV desde la función "ImportExportController" podría introducir potencialmente una inyección CSV en los datos para causar que el archivo de exportación CSV generado sea malicioso. Esto requiere que atacantes logren lo siguiente antes de que se pueda completar un ataque exitoso: 1. Han encontrado una vulnerabilidad en el software de hoja de cálculo de las víctimas de elección. 2. Los datos de control que podrían potencialmente ser exportados por medio de la función "ImportExportController" por parte una víctima teórica. 3. Convencer a la víctima para exportar datos anteriores como un CSV y ejecutarlos en un software de hoja de cálculo vulnerable, mientras que también al omitir cualquier comprobación de sanidad para dicho software. El problema ha sido parcheado en el Build 466 (versión v1.0.466)
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/06/2022

Vulnerabilidad en ajax.php?type=../admin-panel/autoload&page=manage-users en PlayTube (CVE-2020-13792)
Fecha de publicación:
03/06/2020
Idioma:
Español
PlayTube versión 1.8, permite una divulgación de los detalles del usuario por medio del salto de directorio de ajax.php?type=../admin-panel/autoload&page=manage-users, también se conoce como inclusión de archivos local.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/06/2020

Vulnerabilidad en la interfaz de administración basada en web de Cisco Prime Infrastructure (CVE-2020-3339)
Fecha de publicación:
03/06/2020
Idioma:
Español
Una vulnerabilidad en la interfaz de administración basada en web de Cisco Prime Infrastructure, podría permitir a un atacante remoto autenticado llevar a cabo ataques de inyección SQL sobre un sistema afectado. La vulnerabilidad es debido a una comprobación inapropiada de los parámetros introducidos por el usuario. Un atacante podría explotar esta vulnerabilidad autenticándose en la aplicación y mediante el envío de peticiones maliciosas hacia un sistema afectado. Una explotación con éxito podría permitir al atacante obtener y modificar información confidencial que es almacenada en la base de datos subyacente.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/06/2020

Vulnerabilidad en el motor de procesamiento de syslog de Cisco Identity Services Engine (ISE) (CVE-2020-3353)
Fecha de publicación:
03/06/2020
Idioma:
Español
Una vulnerabilidad en el motor de procesamiento de syslog de Cisco Identity Services Engine (ISE), podría permitir a un atacante remoto no autenticado causar una condición de denegación de servicio (DoS) sobre un dispositivo afectado. La vulnerabilidad es debido a una condición de carrera que puede ocurrir cuando los mensajes syslog son procesados. Un atacante podría explotar esta vulnerabilidad mediante el envío de una alta tasa de mensajes syslog hacia un dispositivo afectado. Una explotación con éxito podría permitir al atacante causar que el proceso Application Server se bloquee, resultando en una condición DoS.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023
Suscribirse a Vulnerabilidades