Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en los archivos de servicio en Archer (CVE-2020-29536)

Fecha de publicación:
29/01/2021
Idioma:
Español
Archer versiones anteriores a 6.8 P2 (6.8.0.2), está afectado por una vulnerabilidad de exposición de ruta. Un atacante malicioso autenticado remoto con acceso a archivos de servicio puede conseguir información confidencial para usarla en futuros ataques
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/02/2021

Vulnerabilidad en el navegador web en el contexto de la aplicación web en Archer (CVE-2020-29535)

Fecha de publicación:
29/01/2021
Idioma:
Español
Archer versiones anteriores a 6.8 P4 (6.8.0.4), contiene una vulnerabilidad de tipo XSS almacenado. Un usuario de Archer malicioso autenticado remoto podría explotar esta vulnerabilidad para almacenar código HTML o JavaScript malicioso en un almacén confiable de datos de aplicación. Cuando los usuarios de la aplicación acceden al almacén de datos corrupto por medio de sus navegadores, el código malicioso es ejecutado por el navegador web en el contexto de la aplicación web vulnerable
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/02/2021

Vulnerabilidad en bug_arr[]= en una URL bug_actiongroup_page.php en MantisBT (CVE-2020-29605)

Fecha de publicación:
29/01/2021
Idioma:
Español
Se detectó un problema en MantisBT versiones anteriores a 2.24.4. Debido a unas comprobaciones de nivel de acceso insuficientes, cualquier usuario que haya iniciado sesión con permiso para llevar a cabo acciones de grupo puede conseguir acceso a los campos de Resumen de Problemas privados por medio de bug_arr[]= en una URL bug_actiongroup_page.php diseñada. (Los problemas objetivos pueden tener un estado de vista Privada o pertenecer a un proyecto privado)
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2021

Vulnerabilidad en el parámetro bug_arr[] en el archivo bug_actiongroup.php en MantisBT (CVE-2020-29604)

Fecha de publicación:
29/01/2021
Idioma:
Español
Se detectó un problema en MantisBT versiones anteriores a 2.24.4. Una falta de comprobación de acceso en el archivo bug_actiongroup.php permite a un atacante (con derechos para crear nuevos problemas) usar la acción del grupo COPY para crear un clon, incluyendo todas las notas de error y archivos adjuntos, de cualquier problema privado (es decir, uno que tenga el estado de la vista Privada, o pertenece a un Proyecto privado) por medio del parámetro bug_arr[]. Esto proporciona acceso completo a una información potencialmente confidencial
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2021

Vulnerabilidad en el parámetro project_id en el archivo manage_proj_edit_page.php en MantisBT (CVE-2020-29603)

Fecha de publicación:
29/01/2021
Idioma:
Español
En el archivo manage_proj_edit_page.php en MantisBT versiones anteriores a 2.24.4, cualquier usuario que haya iniciado sesión sin privilegios puede recuperar los nombres de los Proyectos Privados por medio del parámetro project_id del archivo manage_proj_edit_page.php, sin tener acceso a ellos
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2021

Vulnerabilidad en el control de acceso en una API en Archer (CVE-2020-29538)

Fecha de publicación:
29/01/2021
Idioma:
Español
Archer versiones anteriores a 6.9 P1 (6.9.0.1), contiene una vulnerabilidad de control de acceso inapropiado en una API. Un usuario administrativo malicioso autenticado remoto puede explotar esta vulnerabilidad para recopilar información sobre el sistema y puede usar esta información en ataques posteriores
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/07/2021

Vulnerabilidad en múltiples componentes en Acronis True Image para Windows (CVE-2020-35145)

Fecha de publicación:
29/01/2021
Idioma:
Español
Acronis True Image para Windows versiones anteriores a 2021 Update 3, permitía una escalada de privilegios locales debido a una vulnerabilidad de secuestro DLL en múltiples componentes, también se conoce como un problema de Ruta de Búsqueda No Confiable
Gravedad CVSS v3.1: ALTA
Última modificación:
21/07/2021

Vulnerabilidad en el archivo ApiPushBase.php en la API en la extensión Push para MediaWiki (CVE-2020-29004)

Fecha de publicación:
29/01/2021
Idioma:
Español
La API en la extensión Push para MediaWiki versiones hasta 1.35, no requería un token de edición en el archivo ApiPushBase.php y, por lo tanto, facilitó un ataque de tipo CSRF
Gravedad CVSS v3.1: ALTA
Última modificación:
03/02/2021

Vulnerabilidad en Star Practice Management Web (CVE-2020-28403)

Fecha de publicación:
29/01/2021
Idioma:
Español
Se presenta una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en Star Practice Management Web versión 2019.2.0.6, que permite a un atacante cambiar los privilegios de cualquier usuario de la aplicación. Esto puede ser usado para otorgarse un rol administrativo o eliminar la cuenta administrativa de la aplicación
Gravedad CVSS v3.1: ALTA
Última modificación:
30/05/2025

Vulnerabilidad en la autorización en Star Practice Management Web (CVE-2020-28401)

Fecha de publicación:
29/01/2021
Idioma:
Español
Se presenta una vulnerabilidad de autorización inapropiada en Star Practice Management Web versión 2019.2.0.6, que permite a un usuario no autorizado acceder a los detalles de WIP sobre trabajos a los que no debería tener acceso
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/05/2025

Vulnerabilidad en Launcher Configuration Panel en Star Practice Management Web (CVE-2020-28402)

Fecha de publicación:
29/01/2021
Idioma:
Español
Se presenta una vulnerabilidad de autorización inapropiada en Star Practice Management Web versión 2019.2.0.6, permitiendo a un usuario no autorizado acceder al Launcher Configuration Panel
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/05/2025

Vulnerabilidad en la autorización en Star Practice Management Web (CVE-2020-28404)

Fecha de publicación:
29/01/2021
Idioma:
Español
Se presenta una vulnerabilidad de autorización inapropiada en Star Practice Management Web versión 2019.2.0.6, permitiendo a un usuario no autorizado acceder a la página Billing sin los privilegios apropiados
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/05/2025