Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Tuleap Open ALM (CVE-2021-41142)

Fecha de publicación:

14/10/2021

Idioma:

Español

Tuleap Open ALM es una herramienta libre y de código abierto para la trazabilidad de extremo a extremo de los desarrollos de aplicaciones y sistemas. Se presenta una vulnerabilidad de tipo cross-site scripting en Tuleap Community Edition versiones anteriores a 12.11.99.25 y Tuleap Enterprise Edition versión 12.11-2. Un usuario malicioso con capacidad para añadir y eliminar archivos adjuntos a un artefacto podría forzar a la víctima a ejecutar código no controlado. Tuleap Community Edition 11.17.99.146 y Tuleap Enterprise Edition 12.11-2 contienen una corrección del problema

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/10/2021

Vulnerabilidad en el parámetro email en /account/login en Huntflow Enterprise (CVE-2021-37933)

Fecha de publicación:

14/10/2021

Idioma:

Español

Una vulnerabilidad de inyección LDAP en /account/login en Huntflow Enterprise versiones anteriores a 3.10.6, podría permitir a un usuario remoto no autenticado modificar la lógica de una consulta LDAP y omitir la autenticación. La vulnerabilidad es debido a una comprobación insuficiente en el lado del servidor del parámetro email antes de usarlo para construir consultas LDAP. Un atacante podría omitir la autenticación explotando esta vulnerabilidad mediante el envío de intentos de inicio de sesión en los que se presenta una contraseña válida pero un carácter comodín en el parámetro email

Gravedad CVSS v3.1: ALTA

Última modificación:

20/10/2021

Vulnerabilidad en el uso de la función "jQuery.html()" en OMERO.web (CVE-2021-41132)

Fecha de publicación:

14/10/2021

Idioma:

Español

OMERO.web proporciona una infraestructura de clientes y plugins basada en la web. En las versiones anteriores a 5.11.0, varias plantillas no llevan a cabo un saneamiento apropiado mediante un escape de HTML. Debido a una falta de saneo y al uso de la función "jQuery.html()", se presenta toda una serie de posibilidades de tipo cross-site scripting con entradas especialmente diseñadas para una variedad de campos. Este problema está parcheado en la versión 5.11.0. No se conocen soluciones aparte de la actualización

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/10/2021

CVE-2021-39330

Fecha de publicación:

14/10/2021

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: CVE-2021-24608. Reason: This candidate is a duplicate of CVE-2021-24608. Notes: All CVE users should reference CVE-2021-24608 instead of this candidate. All references and descriptions in this candidate have been removed to prevent accidental usage

Gravedad: Pendiente de análisis

Última modificación:

07/11/2023

Vulnerabilidad en la interfaz general de usuario en Nagios XI (CVE-2021-33179)

Fecha de publicación:

14/10/2021

Idioma:

Español

La interfaz general de usuario en Nagios XI versiones anteriores a 5.8.4, es vulnerable a un ataque de tipo cross-site scripting reflejado autenticado. Una víctima autenticada, que accede a una URL maliciosa especialmente diseñada, podría ejecutar sin saberlo la carga útil adjunta

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/10/2021

Vulnerabilidad en la funcionalidad Manage Backgrounds en Nagvis (CVE-2021-33178)

Fecha de publicación:

14/10/2021

Idioma:

Español

La funcionalidad de gestión de fondos en las versiones de NagVis anteriores a la versiión 1.9.29 es vulnerable a una vulnerabilidad de cruce de ruta autenticada. La explotación de esta vulnerabilidad hace que un actor malintencionado tenga la capacidad de eliminar arbitrariamente archivos en el sistema local

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/11/2025

Vulnerabilidad en la clave controlada por el usuario en MELSEC iQ-R series Safety CPU R08/16/32/120SFCPU y MELSEC iQ-R series SIL2 Process CPU R08/16/32/120PSFCPU (CVE-2021-20599)

Fecha de publicación:

14/10/2021

Idioma:

Español

La vulnerabilidad de transmisión de texto claro de información sensible en las versiones de firmware "26" y anteriores de la CPU de seguridad R08/16/32/120SFCPU de la serie iQ-R de MELSEC y en la CPU de proceso SIL2 R08/16/32/120PSFCPU de la serie iQ-R de MELSEC, en todas sus versiones, permite que un atacante remoto no autenticado inicie sesión en un módulo de CPU objetivo obteniendo credenciales distintas de la contraseña

Gravedad CVSS v3.1: ALTA

Última modificación:

18/04/2024

Vulnerabilidad en una doble barra // seguida de un dominio: http://localhost:3000//google.com/%2e%2e en el módulo fastify-static (CVE-2021-22963)

Fecha de publicación:

14/10/2021

Idioma:

Español

Una vulnerabilidad de redirección en el módulo fastify-static versiones anteriores a 4.2.4, permite a atacantes remotos redirigir a usuarios a sitios web arbitrarios por medio de una doble barra // seguida de un dominio: http://localhost:3000//google.com/%2e%2e. El problema aparece en todas las aplicaciones fastify-static que establecen la opción redirect: true. Por defecto, es false

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/10/2021

Vulnerabilidad en una doble barra "//" seguida de un dominio: "http://localhost:3000//a//youtube.com/%2e%2e%2f%2e%2e" en el módulo "fastify-static" (CVE-2021-22964)

Fecha de publicación:

14/10/2021

Idioma:

Español

Una vulnerabilidad de redirección en el módulo "fastify-static" versiones posteriores a 4.2.4 incluyéndola, y anteriores a 4.4.1, permite a atacantes remotos redirigir a usuarios de Mozilla Firefox a sitios web arbitrarios por medio de una doble barra "//" seguida de un dominio: "http://localhost:3000//a//youtube.com/%2e%2e%2f%2e%2e". Es posible una vulnerabilidad de DOS si la URL contiene caracteres no válidos "curl --path-as-is "http://localhost:3000//^/.." El problema se presenta en todas las aplicaciones "fastify-static" que establecen la opción "redirect: true". Por defecto, es "false"

Gravedad CVSS v3.1: ALTA

Última modificación:

20/10/2021

Vulnerabilidad en la funcionalidad Bulk Modifications en Nagios XI (CVE-2021-33177)

Fecha de publicación:

14/10/2021

Idioma:

Español

La funcionalidad Bulk Modifications en Nagios XI versiones anteriores a 5.8.5, es vulnerable a una inyección SQL. La explotación requiere que el actor malicioso se autentique en el sistema vulnerable, pero una vez autenticado podría ejecutar consultas sql arbitrarias

Gravedad CVSS v3.1: ALTA

Última modificación:

20/10/2021

Vulnerabilidad en el componente subzs.php en zz cms (CVE-2020-19961)

Fecha de publicación:

14/10/2021

Idioma:

Español

Se ha detectado una vulnerabilidad de inyección SQL en zz cms versión 2019, que permite a atacantes recuperar datos confidenciales por medio del componente subzs.php

Gravedad CVSS v3.1: ALTA

Última modificación:

09/07/2026

Vulnerabilidad en PHPMyWind (CVE-2020-19964)

Fecha de publicación:

14/10/2021

Idioma:

Español

Se ha detectado una vulnerabilidad de tipo Cross Site Request Forgery (CSRF) en PHPMyWind versión 5.6, que permite a atacantes crear una nueva cuenta de administrador sin autenticación

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/07/2026

Suscribirse a Vulnerabilidades