Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Phone 15 de 3CX en Windows (CVE-2019-14935)

Fecha de publicación:

12/08/2019

Idioma:

Español

Phone 15 de 3CX en Windows, presenta permisos no seguros en el directorio de instalación "%PROGRAMDATA%\3CXPhone for Windows\PhoneApp", permitiendo acceso de Control total para Everyone y conlleva a una escalada de privilegios debido a un enlace StartUp.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/08/2020

Vulnerabilidad en PDFResurrect (CVE-2019-14934)

Fecha de publicación:

11/08/2019

Idioma:

Español

Se detectó un problema en PDFResurrect anterior a versión 0.18. La función pdf_load_pages_kids en el archivo pdf.c no comprueba un cierto valor de tamaño, lo que conlleva a un error de malloc y a una escritura fuera de límites.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en Bagisto (CVE-2019-14933)

Fecha de publicación:

11/08/2019

Idioma:

Español

Bagisto versión 0.1.5, permite un ataque de tipo CSRF bajo URIs /admin.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/08/2019

Vulnerabilidad en GCDWebServer (CVE-2019-14924)

Fecha de publicación:

10/08/2019

Idioma:

Español

Se detectó un problema en GCDWebServer anterior a versión 3.5.3. El método moveItem en la clase GCDWebUploader comprueba la FileExtension de newAbsolutePath pero no de oldAbsolutePath. Mediante el aprovechamiento de esta vulnerabilidad, un adversario puede hacer que un archivo inaccesible esté disponible (la credencial de la aplicación, por ejemplo).

Gravedad CVSS v3.1: ALTA

Última modificación:

21/07/2021

Vulnerabilidad en KeepKey de ShapeShift (CVE-2019-14355)

Fecha de publicación:

10/08/2019

Idioma:

Español

**EN DISPUTA** En los dispositivos KeepKey de ShapeShift, se encontró un canal lateral para la pantalla OLED basada en filas. El consumo de energía de cada ciclo de despliegue basado en filas depende del número de píxeles iluminados, permitiendo una recuperación parcial del contenido de la pantalla. Por ejemplo, un implante de hardware en el cable USB podría aprovechar este comportamiento para recuperar datos secretos que se muestran en la pantalla. En otras palabras, el canal lateral es relevante solo si el atacante tiene suficiente control sobre la conexión USB del dispositivo para realizar mediciones de consumo de energía en un momento en que los datos secretos son mostrados. El canal lateral no es relevante en otras circunstancias, como un dispositivo robado que actualmente no muestra datos secretos. NOTA: la posición del vendedor es que existe un "riesgo insignificante".

Gravedad CVSS v3.1: BAJA

Última modificación:

05/08/2024

Vulnerabilidad en Mini de Mooltipass (CVE-2019-14357)

Fecha de publicación:

10/08/2019

Idioma:

Español

** EN DISPUTA ** En los dispositivos Mini de Mooltipass, se encontró un canal lateral para la pantalla OLED basada en filas. El consumo de energía de cada ciclo de despliegue basado en filas depende del número de píxeles iluminados, permitiendo una recuperación parcial del contenido de la pantalla. Por ejemplo, un implante de hardware en el cable USB podría aprovechar este comportamiento para recuperar secretos confidenciales como el PIN. En otras palabras, el canal lateral es relevante solo si el atacante tiene suficiente control sobre la conexión USB del dispositivo para realizar mediciones de consumo de energía en un momento en que los datos secretos son mostrados. El canal lateral no es relevante en otras circunstancias, como un dispositivo robado que no muestra actualmente datos secretos. NOTA: la posición del proveedor es que un ataque no es "realistically implementable."

Gravedad CVSS v3.1: BAJA

Última modificación:

05/08/2024

Vulnerabilidad en la pantalla OLED en los dispositivos Nano S y Nano X de Ledger (CVE-2019-14354)

Fecha de publicación:

10/08/2019

Idioma:

Español

En los dispositivos Nano S y Nano X de Ledger, se encontró un canal lateral para la pantalla OLED basada en filas. El consumo de energía de cada ciclo de despliegue basado en filas depende del número de píxeles iluminados, permitiendo una recuperación parcial del contenido de la pantalla. Por ejemplo, un implante de hardware en el cable USB podría aprovechar este comportamiento para recuperar secretos confidenciales como el PIN y el mnemónico BIP39. En otras palabras, el canal lateral es relevante solo si el atacante tiene suficiente control sobre la conexión USB del dispositivo para realizar mediciones de consumo de energía en un momento en que los datos secretos son mostrados. El canal lateral no es relevante en otras circunstancias, como un dispositivo robado que no muestra actualmente datos secretos.

Gravedad CVSS v3.1: BAJA

Última modificación:

21/07/2021

Vulnerabilidad en Wind River VxWorks (CVE-2019-12260)

Fecha de publicación:

09/08/2019

Idioma:

Español

Wind River VxWorks versiones 6.9 y vx7, presenta un Desbordamiento de Búfer en el componente TCP (problema 2 de 4). Se trata de una vulnerabilidad de seguridad de IPNET: Confusión de estado de TCP Urgent Pointer causada por una opción AO de TCP malformada.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/08/2022

Vulnerabilidad en Wind River VxWorks (CVE-2019-12261)

Fecha de publicación:

09/08/2019

Idioma:

Español

Wind River VxWorks versiones 6.7 hasta 6.9 y vx7, presenta un Desbordamiento de Búfer en el componente TCP (problema 3 de 4). Se trata de una vulnerabilidad de seguridad de IPNET: Confusión de estado de TCP Urgent Pointer durante la función connect() a un host remoto.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/08/2022

Vulnerabilidad en MobileFrontend (CVE-2019-14807)

Fecha de publicación:

09/08/2019

Idioma:

Español

En la extensión MobileFrontend versiones 1.31 hasta 1.33 para MediaWiki, presenta una vulnerabilidad de tipo XSS dentro del campo edit summary en el archivo includes/specials/MobileSpecialPageFeed.php.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/09/2019

Vulnerabilidad en en URL con un filtro SCIM en Cloud Foundry UAA (CVE-2019-11274)

Fecha de publicación:

09/08/2019

Idioma:

Español

Cloud Foundry UAA, versiones anteriores a 74.0.0, es vulnerable a un ataque de tipo XSS. Un atacante malicioso remoto no autenticado podría crear una URL que contenga un filtro SCIM que contenga JavaScript malicioso, que los navegadores más antiguos pueden ejecutar.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/03/2023

Vulnerabilidad en Jira Server y Data Center (CVE-2019-11581)

Fecha de publicación:

09/08/2019

Idioma:

Español

Se presentó una vulnerabilidad de inyección de plantilla en el lado del servidor en Jira Server y Data Center, en las acciones ContactAdministrators y SendBulkMail. Un atacante puede ejecutar código remotamente sobre sistemas que ejecutan una versión vulnerable de Jira Server o Data Center. Todas las versiones de Jira Server y Data Center desde 4.4.0 anteriores a 7.6.14, desde 7.7.0 anteriores a 7.13.5, desde 8.0.0 anteriores a 8.0.3, desde 8.1.0 anteriores a 8.1.2 y desde 8.2.0 anteriores a 8.2.3, están afectados por esta vulnerabilidad.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/10/2025

Suscribirse a Vulnerabilidades