Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en DMIS Mobile Plug-In o SAP S/4HANA (CVE-2021-33701)

Fecha de publicación:

15/09/2021

Idioma:

Español

DMIS Mobile Plug-In o SAP S/4HANA, versiones - DMIS 2011_1_620, 2011_1_640, 2011_1_700, 2011_1_710, 2011_1_730, 710, 2011_1_731, 710, 2011_1_752, 2020, SAPSCORE 125, S4CORE 102, 102, 103, 104, 105, permite a un atacante con acceso a una cuenta altamente privilegiada ejecutar una consulta manipulada en la herramienta NDZT para conseguir acceso a la cuenta Superuser, conllevando a una vulnerabilidad de Inyección SQL, que presenta un gran impacto en la Confidencialidad, Integridad y Disponibilidad de los sistemas

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

01/04/2022

Vulnerabilidad en IBM Security Guardium (CVE-2021-29773)

Fecha de publicación:

15/09/2021

Idioma:

Español

IBM Security Guardium versiones 10.6 y 11.3, podría permitir a un atacante autenticado remoto conseguir información confidencial o modificar los detalles del usuario causado por una vulnerabilidad de objeto directo no seguro (IDOR). IBM X-Force ID: 202865

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/05/2022

Vulnerabilidad en el parámetro "fullpath" en TinyFileManager (CVE-2021-40964)

Fecha de publicación:

15/09/2021

Idioma:

Español

Se presenta una vulnerabilidad de Salto de Directorio en TinyFileManager en Todas las versiones hasta 2.4.6 incluyéndola, que permite a atacantes subir un archivo (con credenciales de administrador o con la vulnerabilidad CSRF) con el parámetro "fullpath" que contiene cadenas de salto de ruta (../ y ..\) para escapar del directorio de trabajo previsto del servidor y escribir archivos maliciosos en cualquier directorio del ordenador

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/12/2025

Vulnerabilidad en una inyección de propiedades en objetos JSON en Jitsi Meet (CVE-2021-39205)

Fecha de publicación:

15/09/2021

Idioma:

Español

Jitsi Meet es una aplicación de videoconferencia de código abierto. Las versiones anteriores a 2.0.6173 son vulnerables a un ataque de tipo cross-site scripting del lado del cliente por medio de una inyección de propiedades en objetos JSON que no fueron escapados correctamente. No se conocen incidentes relacionados con la explotación de esta vulnerabilidad. Este problema ha sido corregido en la versión 2.0.6173 de Jitsi Meet. No se conocen soluciones aparte de la actualización

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/09/2022

Vulnerabilidad en IBM QRadar SIEM (CVE-2021-29750)

Fecha de publicación:

15/09/2021

Idioma:

Español

IBM QRadar SIEM versiones 7.3 y 7.4, usa algoritmos criptográficos más débiles de lo esperado que podrían permitir a un atacante descifrar información altamente confidencial. IBM X-Force ID: 201778

Gravedad CVSS v3.1: ALTA

Última modificación:

28/09/2021

Vulnerabilidad en un módulo de Prosody en Jitsi Meet (CVE-2021-39215)

Fecha de publicación:

15/09/2021

Idioma:

Español

Jitsi Meet es una aplicación de videoconferencia de código abierto. En versiones anteriores a 2.0.5963, un módulo de Prosody permite el uso de algoritmos simétricos para comprender los tokens web JSON. Esto significa que los tokens generados por fuentes arbitrarias pueden ser usados para conseguir autorización a las salas protegidas. Este problema ha sido corregido en Jitsi Meet versión 2.0.5963. No se presentan soluciones conocidas aparte de la actualización

Gravedad CVSS v3.1: ALTA

Última modificación:

28/09/2021

Vulnerabilidad en una URL en TinyFileManager (CVE-2021-40965)

Fecha de publicación:

15/09/2021

Idioma:

Español

Se presenta una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en TinyFileManager en Todas las versiones hasta 2.4.6 incluyéndola, que permite a atacantes subir archivos y ejecutar comandos del Sistema Operativo induciendo al usuario administrador a navegar por una URL controlada por un atacante

Gravedad CVSS v3.1: ALTA

Última modificación:

31/12/2025

Vulnerabilidad en el archivo /tinyfilemanager.php en TinyFileManager (CVE-2021-40966)

Fecha de publicación:

15/09/2021

Idioma:

Español

Se presenta una vulnerabilidad de tipo XSS almacenado en TinyFileManager. Todas las versiones hasta 2.4.6 incluyéndola, en el archivo /tinyfilemanager.php cuando el servidor recibe un archivo que contiene HTML y javascript en su nombre. Un usuario malicioso puede subir un archivo con un nombre malicioso que contenga código javascript y se ejecutará en cualquier navegador de usuario cuando éste acceda al servidor

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/12/2025

Vulnerabilidad en los parámetros (1) NOM_CLI , (2) ADRESSE , (3) ADRESSE2, (4) LOCALITE en /eshop/productos/json/aouCustomerAdresse; y el parámetro (5) nom_liste a /eshop/productos/json/addCustomerFavorite en SITA Software Azur CMS (CVE-2021-28901)

Fecha de publicación:

15/09/2021

Idioma:

Español

Se presentan múltiples vulnerabilidades de tipo cross-site scripting (XSS) en SITA Software Azur CMS versiones 1.2.3.1 y anteriores, que permiten a atacantes remotos inyectar scripts web o HTML arbitrario por medio de los parámetros (1) NOM_CLI , (2) ADRESSE , (3) ADRESSE2, (4) LOCALITE en /eshop/productos/json/aouCustomerAdresse; y el parámetro (5) nom_liste a /eshop/productos/json/addCustomerFavorite

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/09/2021

Vulnerabilidad en IBM Security Guardium (CVE-2021-20433)

Fecha de publicación:

15/09/2021

Idioma:

Español

IBM Security Guardium versión 11.3, podría permitir a un usuario autenticado conseguir información confidencial que podría ser usada en otros ataques contra el sistema. IBM X-Force ID: 196345

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/09/2021

Vulnerabilidad en la herramienta de administración de MyLittleBackup (CVE-2021-39392)

Fecha de publicación:

15/09/2021

Idioma:

Español

La herramienta de administración de MyLittleBackup versiones hasta 1.7 incluyéndola, permite a atacantes remotos ejecutar código arbitrario porque machineKey está embebida (la misma para todas las instalaciones de los clientes) en web.config, y puede usarse para enviar código ASP serializado

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/10/2021

Vulnerabilidad en una petición HTTP en la funcionalidad "Cron Jobs" en el panel de administración de Webuzo (CVE-2021-40238)

Fecha de publicación:

15/09/2021

Idioma:

Español

Se presenta una vulnerabilidad de tipo Cross Site Scripting (XSS) en el panel de administración de Webuzo versiones anteriores a 2.9.0, por medio de una petición HTTP a una página no existente, que es activada por los administradores que visualizan la página "Error Log". Un atacante puede aprovechar esto para lograr una ejecución de código remota sin autenticación por medio de la funcionalidad "Cron Jobs" de Webuzo

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/09/2021

Suscribirse a Vulnerabilidades