Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Juniper Networks Junos Space (CVE-2018-0046)

Fecha de publicación:

10/10/2018

Idioma:

Español

Una vulnerabilidad de Cross-Site Scripting (XSS) reflejado en OpenNMS incluido con Juniper Networks Junos Space podría permitir el robo de información sensible o credenciales de sesión de los administradores de Junos Space o realizar acciones administrativas. Este problema afecta a Juniper Networks Junos Space en versiones anteriores a la 18.2R1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en productos SIMATIC (CVE-2018-13805)

Fecha de publicación:

10/10/2018

Idioma:

Español

Se ha identificado una vulnerabilidad en SIMATIC ET 200SP Open Controller (todas las versiones desde la V2.0 y antes de la V2.1.6), SIMATIC S7-1500 Software Controller (todas las versiones desde la V2.0 y antes de la V2.5) y SIMATIC S7-1500 incl. F (todas las versiones desde la V2.0 y antes de la V2.5). Un atacante puede provocar una condición de denegación de servicio (DoS) en la pila de red mediante el envío de un gran número de paquetes especialmente manipulados al PLC. El PLC perderá su capacidad de comunicarse a través de la red. Esta vulnerabilidad podría ser explotada por atacantes con acceso de red a los sistemas afectados. Su explotación con éxito no requiere privilegios de usuario ni interacción. Un atacante podría usar la vulnerabilidad para comprometer la disponibilidad de la conectividad de red. En el momento de la publicación del advisory, no se conoce ninguna explotación pública de la vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/03/2019

Vulnerabilidad en ROX II (CVE-2018-13802)

Fecha de publicación:

10/10/2018

Idioma:

Español

Se ha identificado una vulnerabilidad en ROX II (todas las versiones anteriores a V2.12.1). Un atacante autenticado con acceso a una cuenta de usuario con altos privilegios podría eludir las restricciones existentes y ejecutar comandos arbitrarios del sistema operativo. Su explotación con éxito requiere que el atacante tenga acceso de red a la interfaz SSH en el puerto 22/tcp. El atacante debe estar autenticado para explotar la vulnerabilidad. La vulnerabilidad podría permitir que el atacante ejecute código arbitrario en el dispositivo.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en GE iFIX (CVE-2018-17925)

Fecha de publicación:

10/10/2018

Idioma:

Español

Múltiples instancias de esta vulnerabilidad (control ActiveX inseguro marcado como seguro para scripting) se han identificado en el objeto ActiveX de terceros proporcionado a GE iFIX en versiones 2.0 - 5.8 de Gigasoft. Solo el uso independiente del paquete charting fuera del producto iFIX podría exponer a los usuarios a la vulnerabilidad reportada. El método reportado para provocar un impacto en Internet Explorer no está expuesto en el producto iFIX ni es la funcionalidad core del producto que se sabe que sufre el impacto.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en la familia de CPU SIMATIC (CVE-2018-13800)

Fecha de publicación:

10/10/2018

Idioma:

Español

Se ha identificado una vulnerabilidad en la familia de CPU SIMATIC S7-1200 (todas las versiones anteriores a V4.2.3). La interfaz web podría permitir un ataque Cross-Site Request Forgery (CSRF) si un usuario incauto es engañado para que acceda a un enlace malicioso. Su explotación con éxito requiere interacción por parte del usuario legítimo, que debe estar autenticado en la interfaz web. Un ataque exitoso podría permitir que un atacante desencadene acciones en la interfaz web que el usuario legítimo puede realizar. Esto podría permitir que el atacante lea o modifique partes de la configuración del dispositivo.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en ROX II (CVE-2018-13801)

Fecha de publicación:

10/10/2018

Idioma:

Español

Se ha identificado una vulnerabilidad en ROX II (todas las versiones anteriores a V2.12.1). Un atacante con acceso de red al puerto 22/tcp y credenciales de usuario válidas con pocos privilegios para el dispositivo objetivo podría realizar un escalado de privilegios y obtener privilegios root. La explotación exitosa requiere privilegios de usuario con pocos privilegios, pero no requiere que el usuario interactúe. Esta vulnerabilidad podría permitir que un atacante comprometa la confidencialidad, integridad y disponibilidad del sistema.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en DiliCMS (CVE-2018-18209)

Fecha de publicación:

10/10/2018

Idioma:

Español

Existe Cross-Site Scripting (XSS) en DiliCMS 2.4.0 mediante el parámetro attachment_type en admin/index.php/setting/site?tab=site_attachment.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/11/2018

Vulnerabilidad en DiliCMS (CVE-2018-18210)

Fecha de publicación:

10/10/2018

Idioma:

Español

Existe Cross-Site Scripting (XSS) en DiliCMS 2.4.0 mediante el parámetro attachment_url en admin/index.php/setting/site?tab=site_attachment.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/11/2018

Vulnerabilidad en PbootCMS (CVE-2018-18211)

Fecha de publicación:

10/10/2018

Idioma:

Español

PbootCMS 1.2.1 tiene una inyección SQL mediante los datos HTTP POST en el URI api.php/cms/addform?fcode=1.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/11/2018

Vulnerabilidad en Virtualmin (CVE-2018-18208)

Fecha de publicación:

10/10/2018

Idioma:

Español

Virtualmin 6.03 permite Cross-Site Scripting (XSS) mediante la cadena query, tal y como queda demostrado con el URI webmin_search.cgi.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/11/2018

Vulnerabilidad en Virtualmin (CVE-2018-18207)

Fecha de publicación:

10/10/2018

Idioma:

Español

Virtualmin 6.03 permite la inyección de tramas mediante el parámetro file en settings-editor_read.cgi.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/11/2018

Vulnerabilidad en XMeye P2P Cloud Server (CVE-2018-17915)

Fecha de publicación:

10/10/2018

Idioma:

Español

Todas las versiones de XMeye P2P Cloud Server, de Hangzhou Xiongmai Technology Co., Ltdm, no cifran todas las comunicaciones del dispositivo. Esto incluye el servicio XMeye y la comunicación de actualizaciones de firmware. Esto podría permitir que un atacante espíe los feeds de vídeo, robe credenciales de inicio de sesión de XMeye o suplante el servidor de actualización con código de actualización malicioso.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/10/2019

Suscribirse a Vulnerabilidades