Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el analizador CSS (archivo khtml/css/cssparser.cpp) en Konqueror en KDE (CVE-2012-4512)
Fecha de publicación:
08/02/2020
Idioma:
Español
El analizador CSS (archivo khtml/css/cssparser.cpp) en Konqueror en KDE versión 4.7.3, permite a atacantes remotos causar una denegación de servicio (bloqueo) y posiblemente leer la memoria por medio de una fuente font face diseñada, relacionada con "type confusion."
Gravedad CVSS v3.1: ALTA
Última modificación:
21/11/2024

Vulnerabilidad en diversos parámetros en NetCracker Resource Management System (CVE-2015-3423)
Fecha de publicación:
08/02/2020
Idioma:
Español
Múltiples vulnerabilidades de inyección SQL en NetCracker Resource Management System versiones anteriores a 8.2, permiten a usuarios autenticados remotos ejecutar comandos SQL arbitrarios por medio del parámetro (1) ctrl, (2) h ____%2427, (3) h ____%2439, (4) param0, (5) param1 , (6) param2, (7) param3, (8) param4, (9) filter_INSERT_COUNT, (10) filter_MINOR_FALLOUT, (11) filter_UPDATE_COUNT, (12) sort o (13) sessid.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/02/2020

Vulnerabilidad en el archivo wp-admin/admin.php en el parámetro removeslide en una acción popup_posts o edit_cat en la página sliders_huge_it_slider en el plugin Huge-IT Slider para WordPress (CVE-2015-2062)
Fecha de publicación:
08/02/2020
Idioma:
Español
Múltiples vulnerabilidades de inyección SQL en el plugin Huge-IT Slider (slider-image) versiones anteriores a 2.7.0 para WordPress, permiten a administradores remotos ejecutar comandos SQL arbitrarios por medio del parámetro removeslide en una acción popup_posts o edit_cat en la página sliders_huge_it_slider en el archivo wp-admin/admin.php.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/02/2020

Vulnerabilidad en el archivo main/dropbox/index.php en el parámetro category_name en una acción addsentcategory en Chamilo LMS (CVE-2012-4029)
Fecha de publicación:
08/02/2020
Idioma:
Español
Una vulnerabilidad de tipo cross-site scripting (XSS) en el archivo main/dropbox/index.php en Chamilo LMS versiones anteriores a 1.8.8.6, permite a atacantes remotos inyectar script web o HTML arbitrario por medio del parámetro category_name en una acción addsentcategory.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/11/2024

Vulnerabilidad en el archivo server/php/UploadHandler.php en el jQuery File Upload Plugin para jQuery usado en el Creative Solutions Creative Contact Form para WordPress y Joomla! (CVE-2014-8739)
Fecha de publicación:
08/02/2020
Idioma:
Español
Una vulnerabilidad de carga de archivos sin restricciones en el archivo server/php/UploadHandler.php en el jQuery File Upload Plugin versión 6.4.4 para jQuery, como es usado en el Creative Solutions Creative Contact Form (anteriormente Sexy Contact Form) versiones anteriores a 1.0.0 para WordPress, y versiones anteriores a 2.0.1 para Joomla!, permite a atacantes remotos ejecutar código arbitrario mediante la carga de un archivo PHP con una extensión PHP, y luego acceder a él mediante una petición directa al archivo en files/, como se explotó "in the wild" en octubre de 2014.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/02/2020

Vulnerabilidad en las contraseñas en la base de datos local en MediaWiki (CVE-2012-4381)
Fecha de publicación:
08/02/2020
Idioma:
Español
MediaWiki versiones anteriores a 1.18.5 y versiones 1.19.x anteriores a 1.19.2, guardan las contraseñas en la base de datos local, (1) lo que podría facilitar a atacantes dependiendo del contexto obtener contraseñas de texto sin cifrar por medio de un ataque de fuerza bruta o, (2) cuando un plugin de autenticación devuelve un falso en la función strict, podría permitir a atacantes remotos utilizar contraseñas antiguas para cuentas no existentes en un sistema de autenticación externo por medio de vectores no especificados.
Gravedad CVSS v3.1: ALTA
Última modificación:
21/11/2024

Vulnerabilidad en diversos parámetros en NetCracker Resource Management System (CVE-2015-2207)
Fecha de publicación:
08/02/2020
Idioma:
Español
Múltiples vulnerabilidades de tipo cross-site scripting (XSS) en NetCracker Resource Management System versiones anteriores a 8.2, permiten a usuarios autenticados remotos inyectar script web o HTML arbitrario por medio del parámetro (1) ctrl, (2) t90001_0_theform_selection, (3) _scroll, (4) tableName, ( 5) parent, (6) circuit, (7) return, (8) xname o (9) mpTransactionId.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/02/2020

Vulnerabilidad en el archivo Frontend/Modules/Search/Actions/Index.php en la función loadForm en el parámetro q_widget en en/search en Fork CMS (CVE-2014-9470)
Fecha de publicación:
08/02/2020
Idioma:
Español
Una vulnerabilidad de tipo cross-site scripting (XSS) en la función loadForm en el archivo Frontend/Modules/Search/Actions/Index.php en Fork CMS versiones anteriores a 3.8.4, permite a atacantes remotos inyectar script web o HTML arbitrario por medio del parámetro q_widget en en/search.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/02/2020

Vulnerabilidad en el archivo index.php en la funcionalidad export en el parámetro r con el valor export en Open-School Community Edition (CVE-2014-9127)
Fecha de publicación:
08/02/2020
Idioma:
Español
Open-School Community Edition versión 2.2, no restringe apropiadamente el acceso a la funcionalidad export, lo que permite a usuarios autenticados remotos obtener información confidencial por medio del parámetro r con el valor export en el archivo index.php.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2020

Vulnerabilidad en la cookie HTTP YII_CSRF_TOKEN o en ciertos parámetros en el archivo index.php en Open-School Community Edition (CVE-2014-9126)
Fecha de publicación:
08/02/2020
Idioma:
Español
Múltiples vulnerabilidades de tipo cross-site scripting (XSS) en Open-School Community Edition versión 2.2, permiten a atacantes remotos inyectar script web o HTML arbitrario por medio de la cookie HTTP YII_CSRF_TOKEN o los parámetros StudentDocument, StudentCategories, StudentPreviousDatas en el archivo index.php.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2020

Vulnerabilidad en el archivo wp-admin/admin-ajax.php en diversos parámetros en una acción addImages en el plugin Photo Gallery para WordPress (CVE-2015-1394)
Fecha de publicación:
08/02/2020
Idioma:
Español
Múltiples vulnerabilidades de tipo cross-site scripting (XSS) en el plugin Photo Gallery versiones anteriores a 1.2.11 para WordPress, permiten a usuarios autenticados remotos inyectar script web o HTML arbitrario por medio de los parámetros (1) sort_by, (2) sort_order, (3) items_view, (4 ) dir, (5) clipboard_task, (6) clipboard_files, (7) clipboard_src o (8) clipboard_dest en una acción addImages en el archivo wp-admin/admin-ajax.php.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/02/2020

Vulnerabilidad en el parámetro fileName en una operación copyfile o en una operación listdirectory en el servlet FailOverHelperServlet en ZOHO ManageEngine Applications Manager, OpManager e IT360 (CVE-2014-7863)
Fecha de publicación:
08/02/2020
Idioma:
Español
El servlet FailOverHelperServlet (también se conoce como FailServlet) en ZOHO ManageEngine Applications Manager versiones anteriores a 11.9 build 11912, OpManager versiones 8 hasta 11.5 build 11400 e IT360 versiones 10.5 y anteriores, no restringe el acceso apropiadamente, lo que permite a atacantes remotos y a usuarios autenticados remotos (1) leer archivos arbitrarios por medio del parámetro fileName en una operación copyfile u (2) obtener información confidencial por medio de un listado de directorio en una operación listdirectory en servlet/FailOverHelperServlet.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/02/2020
Suscribirse a Vulnerabilidades