Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en WordPress (CVE-2017-18506)

Fecha de publicación:

12/08/2019

Idioma:

Español

El plugin woocommerce-pdf-invoices-packaging-slips anterior a la versión 2.0.13 para WordPress tiene XSS a través de la pestaña o la variable de sección en las pantallas de configuración.

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/08/2019

Vulnerabilidad en Humanica Humatrix (CVE-2019-14932)

Fecha de publicación:

12/08/2019

Idioma:

Español

El módulo de reclutamiento en Humanica Humatrix versiones 7 1.0.0.681 y 1.0.0.203 permite a los atacantes remotos acceder a la información de todos los candidatos en el sitio web a través de una variable selApp modificada a personalData / resumeDetail.cfm. Esto incluye información personal y otros datos confidenciales.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/07/2021

Vulnerabilidad en Storage Performance Development Kit (SPDK) (CVE-2019-14940)

Fecha de publicación:

12/08/2019

Idioma:

Español

En el Storage Performance Development Kit (SPDK) anterior a versión 19.07, un usuario de un vhost puede causar un bloqueo si al objetivo se envía una entrada no válida.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/08/2020

Vulnerabilidad en el módulo mysql, para Node.js. (CVE-2019-14939)

Fecha de publicación:

12/08/2019

Idioma:

Español

Se detectó un problema en el módulo mysql (también conocido como mysqljs) versión 2.17.1, para Node.js. La opción LOAD DATA LOCAL INFILE está abierta por defecto.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/07/2021

Vulnerabilidad en Phone 15 de 3CX en Windows (CVE-2019-14935)

Fecha de publicación:

12/08/2019

Idioma:

Español

Phone 15 de 3CX en Windows, presenta permisos no seguros en el directorio de instalación "%PROGRAMDATA%\3CXPhone for Windows\PhoneApp", permitiendo acceso de Control total para Everyone y conlleva a una escalada de privilegios debido a un enlace StartUp.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/08/2020

Vulnerabilidad en PDFResurrect (CVE-2019-14934)

Fecha de publicación:

11/08/2019

Idioma:

Español

Se detectó un problema en PDFResurrect anterior a versión 0.18. La función pdf_load_pages_kids en el archivo pdf.c no comprueba un cierto valor de tamaño, lo que conlleva a un error de malloc y a una escritura fuera de límites.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en Bagisto (CVE-2019-14933)

Fecha de publicación:

11/08/2019

Idioma:

Español

Bagisto versión 0.1.5, permite un ataque de tipo CSRF bajo URIs /admin.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/08/2019

Vulnerabilidad en GCDWebServer (CVE-2019-14924)

Fecha de publicación:

10/08/2019

Idioma:

Español

Se detectó un problema en GCDWebServer anterior a versión 3.5.3. El método moveItem en la clase GCDWebUploader comprueba la FileExtension de newAbsolutePath pero no de oldAbsolutePath. Mediante el aprovechamiento de esta vulnerabilidad, un adversario puede hacer que un archivo inaccesible esté disponible (la credencial de la aplicación, por ejemplo).

Gravedad CVSS v3.1: ALTA

Última modificación:

21/07/2021

Vulnerabilidad en KeepKey de ShapeShift (CVE-2019-14355)

Fecha de publicación:

10/08/2019

Idioma:

Español

**EN DISPUTA** En los dispositivos KeepKey de ShapeShift, se encontró un canal lateral para la pantalla OLED basada en filas. El consumo de energía de cada ciclo de despliegue basado en filas depende del número de píxeles iluminados, permitiendo una recuperación parcial del contenido de la pantalla. Por ejemplo, un implante de hardware en el cable USB podría aprovechar este comportamiento para recuperar datos secretos que se muestran en la pantalla. En otras palabras, el canal lateral es relevante solo si el atacante tiene suficiente control sobre la conexión USB del dispositivo para realizar mediciones de consumo de energía en un momento en que los datos secretos son mostrados. El canal lateral no es relevante en otras circunstancias, como un dispositivo robado que actualmente no muestra datos secretos. NOTA: la posición del vendedor es que existe un "riesgo insignificante".

Gravedad CVSS v3.1: BAJA

Última modificación:

05/08/2024

Vulnerabilidad en Mini de Mooltipass (CVE-2019-14357)

Fecha de publicación:

10/08/2019

Idioma:

Español

** EN DISPUTA ** En los dispositivos Mini de Mooltipass, se encontró un canal lateral para la pantalla OLED basada en filas. El consumo de energía de cada ciclo de despliegue basado en filas depende del número de píxeles iluminados, permitiendo una recuperación parcial del contenido de la pantalla. Por ejemplo, un implante de hardware en el cable USB podría aprovechar este comportamiento para recuperar secretos confidenciales como el PIN. En otras palabras, el canal lateral es relevante solo si el atacante tiene suficiente control sobre la conexión USB del dispositivo para realizar mediciones de consumo de energía en un momento en que los datos secretos son mostrados. El canal lateral no es relevante en otras circunstancias, como un dispositivo robado que no muestra actualmente datos secretos. NOTA: la posición del proveedor es que un ataque no es "realistically implementable."

Gravedad CVSS v3.1: BAJA

Última modificación:

05/08/2024

Vulnerabilidad en la pantalla OLED en los dispositivos Nano S y Nano X de Ledger (CVE-2019-14354)

Fecha de publicación:

10/08/2019

Idioma:

Español

En los dispositivos Nano S y Nano X de Ledger, se encontró un canal lateral para la pantalla OLED basada en filas. El consumo de energía de cada ciclo de despliegue basado en filas depende del número de píxeles iluminados, permitiendo una recuperación parcial del contenido de la pantalla. Por ejemplo, un implante de hardware en el cable USB podría aprovechar este comportamiento para recuperar secretos confidenciales como el PIN y el mnemónico BIP39. En otras palabras, el canal lateral es relevante solo si el atacante tiene suficiente control sobre la conexión USB del dispositivo para realizar mediciones de consumo de energía en un momento en que los datos secretos son mostrados. El canal lateral no es relevante en otras circunstancias, como un dispositivo robado que no muestra actualmente datos secretos.

Gravedad CVSS v3.1: BAJA

Última modificación:

21/07/2021

Vulnerabilidad en Wind River VxWorks (CVE-2019-12260)

Fecha de publicación:

09/08/2019

Idioma:

Español

Wind River VxWorks versiones 6.9 y vx7, presenta un Desbordamiento de Búfer en el componente TCP (problema 2 de 4). Se trata de una vulnerabilidad de seguridad de IPNET: Confusión de estado de TCP Urgent Pointer causada por una opción AO de TCP malformada.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/08/2022

Suscribirse a Vulnerabilidades