Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en una acción de modificación en el archivo user/adv.php en zzcms 2019 (CVE-2020-19042)
Fecha de publicación:
13/12/2021
Idioma:
Español
Se presenta una vulnerabilidad de tipo Cross Site Scripting (XSS) en zzcms 2019. un ataque de tipo XSS por medio de una acción de modificación en el archivo user/adv.php
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026

Vulnerabilidad en Jackalope Doctrine-DBAL (CVE-2021-43822)
Fecha de publicación:
13/12/2021
Idioma:
Español
Jackalope Doctrine-DBAL es una implementación de la API de Repositorio de Contenido PHP (PHPCR) que usa una base de datos relacional para persistir los datos. En las versiones afectadas los usuarios pueden provocar inyecciones SQL si pueden especificar un nombre de nodo o una consulta. Actualice a versión 1.7.4 para resolver este problema. Si no es posible, puede escapar de todos los lugares donde es usado "$property" para filtrar "sv:name" en la clase "Jackalope\Transport\DoctrineDBAL\Query\QOMWalker": "XPath::escape($property)". Los nombres de nodo y los xpaths pueden contener """ o ";" según la especificación JCR. El componente jackalope que traduce el modelo de objetos de consulta en consultas dbal de la doctrina no escapa adecuadamente los nombres y rutas, por lo que un nombre de nodo convenientemente elaborado puede llevar a una inyección SQL. Si las consultas nunca son realizadas a partir de la entrada del usuario, o si es comprobada la entrada del usuario para que no contenga ";", no está afectado
Gravedad CVSS v3.1: ALTA
Última modificación:
17/12/2021

Vulnerabilidad en la función parse_die() en Rizin (CVE-2021-43814)
Fecha de publicación:
13/12/2021
Idioma:
Español
Rizin es un marco de trabajo de ingeniería inversa de tipo UNIX y un conjunto de herramientas de línea de comandos. En versiones hasta 0.3.1 incluyéndola, se presenta una escritura fuera de límites en la región heap de la memoria en la función parse_die() cuando es invertido un binario ELF AMD64 con información de depuración DWARF. Cuando un usuario víctima abre un binario ELF AMD64 malicioso, Rizin puede bloquearse o ejecutar acciones no deseadas. No se conocen soluciones y se aconseja a los usuarios que actualicen
Gravedad CVSS v3.1: ALTA
Última modificación:
22/12/2021

Vulnerabilidad en el envío de un JSON a "/graphql" en Mercurius (CVE-2021-43801)
Fecha de publicación:
13/12/2021
Idioma:
Español
Mercurius es un adaptador GraphQL para Fastify. Cualquier usuario de Mercurius@ versiones 8.10.0 a 8.11.1, está sujeto a un ataque de denegación de servicio mediante el envío de un JSON malformado a "/graphql" a menos que esté usando un administrador de errores personalizado. La vulnerabilidad ha sido corregida en https://github.com/mercurius-js/mercurius/pull/678 y ha sido distribuida en la versión 8.11.2. Como solución, los usuarios pueden usar un administrador de errores personalizado
Gravedad CVSS v3.1: ALTA
Última modificación:
15/12/2021

Vulnerabilidad en Collabora Online (CVE-2021-43817)
Fecha de publicación:
13/12/2021
Idioma:
Español
Collabora Online es una suite ofimática colaborativa online basada en la tecnología de LibreOffice. En las versiones afectadas fué encontrada una vulnerabilidad de tipo XSS reflejada en Collabora Online. Un atacante podía inyectar HTML sin esconder en una variable al crear el iframe de Collabora Online, y ejecutar scripts dentro del contexto del iframe de Collabora Online. Esto daría acceso a un pequeño conjunto de configuraciones de usuario almacenadas en el navegador, así como al token de autenticación de la sesión que también era pasado en el momento de la creación del iframe. Los usuarios deben actualizar a Collabora Online versiones 6.4.16 o superior o Collabora Online 4.2.20 o superior. Collabora Online Development Edition versión 21.11 no está afectada
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/12/2021

Vulnerabilidad en Sourcegraph (CVE-2021-43823)
Fecha de publicación:
13/12/2021
Idioma:
Español
Sourcegraph es un motor de búsqueda y navegación de código. Sourcegraph versiones anteriores a 3.33.2 es vulnerable a un ataque de canal lateral en el que las cadenas del código fuente privado podrían ser adivinadas por un actor autenticado pero no autorizado. Este problema afecta a las funciones de Búsquedas Guardadas y Monitorización de Código. Un ataque con éxito requeriría que un actor malo autenticado creara muchas Búsquedas Guardadas o Monitores de Código para recibir la confirmación de que una cadena específica esta presente. Esto podría permitir a un atacante adivinar los tokens formateados en el código fuente, como las claves de la API. Este problema ha sido parcheado en la versión 3.33.2 y en las futuras versiones de Sourcegraph. Recomendamos encarecidamente que se actualice a las versiones seguras. Si no puede hacerlo, puede deshabilitar las Búsquedas Guardadas y los Monitores de Código
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/12/2021

Vulnerabilidad en IBM Spectrum Protect Plus (CVE-2021-39057)
Fecha de publicación:
13/12/2021
Idioma:
Español
IBM Spectrum Protect Plus versiones 10.1.0.0 hasta 10.1.8.x ,es vulnerable a un ataque de tipo server-side request forgery (SSRF). Esto puede permitir a un atacante autenticado enviar peticiones no autorizadas desde el sistema, conllevando potencialmente a una enumeración de la red o facilitar otros ataques. IBM X-Force ID: 214616
Gravedad CVSS v3.1: ALTA
Última modificación:
15/12/2021

Vulnerabilidad en IBM Spectrum Protect Plus (CVE-2021-39063)
Fecha de publicación:
13/12/2021
Idioma:
Español
IBM Spectrum Protect Plus versiones 10.1.0.0 hasta 10.1.8.x, usa Cross-Origin Resource Sharing (CORS), lo que podría permitir a un atacante llevar a cabo acciones privilegiadas y recuperar información confidencial debido a una configuración errónea en los encabezados de control de acceso. IBM X-Force ID: 214956
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
15/12/2021

Vulnerabilidad en IBM i2 Analyst's Notebook (CVE-2021-39050)
Fecha de publicación:
13/12/2021
Idioma:
Español
IBM i2 Analyst's Notebook versiones 9.2.0, 9.2.1 y 9.2.2, es vulnerable a un desbordamiento del búfer en la región stack de la memoria, causado por una comprobación inapropiada de límites. Un atacante local podría desbordar un búfer y conseguir privilegios de nivel inferior. IBM X-Force ID: 214440
Gravedad CVSS v3.1: ALTA
Última modificación:
16/12/2021

Vulnerabilidad en la conexión del servidor de IBM Spectrum Protect Plus (CVE-2020-4496)
Fecha de publicación:
13/12/2021
Idioma:
Español
La conexión del servidor de IBM Spectrum Protect Plus versiones 10.1.0.0 a 10.1.8.x con un agente de carga de trabajo de IBM Spectrum Protect Plus está sujeta a un ataque de tipo "man-in-the-middle" debido a una comprobación inapropiada del certificado. IBM X-Force ID: 182046
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/12/2021

Vulnerabilidad en IBM Spectrum Protect Operations Center (CVE-2021-38901)
Fecha de publicación:
13/12/2021
Idioma:
Español
IBM Spectrum Protect Operations Center versión 7.1, bajo configuraciones especiales, podría permitir a un usuario local obtener información altamente confidencial. IBM X-Force ID: 209610
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/12/2021

Vulnerabilidad en IBM i2 Analyst's Notebook (CVE-2021-39049)
Fecha de publicación:
13/12/2021
Idioma:
Español
IBM i2 Analyst's Notebook versiones 9.2.0, 9.2.1 y 9.2.2, es vulnerable a un desbordamiento del búfer en la región stack de la memoria, causado por una comprobación inapropiada de límites. Un atacante local podría desbordar un búfer y conseguir privilegios de nivel inferior. IBM X-Force ID: 214439
Gravedad CVSS v3.1: ALTA
Última modificación:
16/12/2021
Suscribirse a Vulnerabilidades