Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el kernel de Linux (CVE-2018-14646)

Fecha de publicación:
26/11/2018
Idioma:
Español
El kernel de Linux en versiones anteriores a la 4.15-rc8 era vulnerable a un error de desreferencia de puntero NULL en la función __netlink_ns_capable() en el archivo net/netlink/af_netlink.c. Un atacante local podría explotarlo cuando un espacio de nombres de red con un netnsid se asigne para provocar un kernel de pánico y ataque de denegación de servicio (DoS).
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/10/2019

Vulnerabilidad en WordPress (CVE-2018-19564)

Fecha de publicación:
26/11/2018
Idioma:
Español
Se ha descubierto Cross-Site Scripting (XSS) persistente en el plugin 3.2 "Easy Testimonials" para WordPress. Tres parámetros en wp-admin/post.php (_ikcf_client, _ikcf_position y _ikcf_other) tienen Cross-Site Scripting (XSS).
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/12/2018

Vulnerabilidad en moodle (CVE-2018-16854)

Fecha de publicación:
26/11/2018
Idioma:
Español
Se ha encontrado un error en Moodle en las siguientes versiones: desde la 3.5 hasta la 3.5.2, desde la 3.4 hasta la 3.4.5, desde la 3.3 hasta la 3.3.8 y desde la 3.1 hasta la 3.1.14 y anteriores. El formulario de inicio de sesión no es protegido por un token para prevenir Cross-Site Request Forgery (CSRF) durante el inicio de sesión. Las versiones solucionadas incluyen las siguientes: 3.6, 3.5.3, 3.4.6, 3.3.9 y 3.1.15.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/10/2019

Vulnerabilidad en IBM Integration Bus (CVE-2017-1418)

Fecha de publicación:
26/11/2018
Idioma:
Español
La versiones 9.0.0.0, 9.0.0.11, 10.0.0.0 y 10.0.0.14 de IBM Integration Bus (inclusivas las 8.0.0.0 y 8.0.0.9 de WebSphere Message Broker) tienen permisos inseguros en determinados archivos. Un atacante local podría explotar esta vulnerabilidad para modificar o borrar dichos archivos con un impacto desconocido. IBM X-Force ID: 127406.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/10/2019

Vulnerabilidad en IBM WebSphere Application Server (CVE-2018-1905)

Fecha de publicación:
26/11/2018
Idioma:
Español
Desde la versión 9.0.0.0 hasta la 9.0.0.9, IBM WebSphere Application Server es vulnerable a ataques de tipo XEE (XML External Entity Injection) al procesar datos XML. Un atacante remoto podría explotar esta vulnerabilidad para exponer información sensible o consumir recursos de la memoria. IBM X-Force ID: 152534.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/10/2019

Vulnerabilidad en Z-BlogPHP (CVE-2018-19556)

Fecha de publicación:
26/11/2018
Idioma:
Español
** EN DISPUTA ** zb_system/admin/index.php?act=UploadMng en Z-BlogPHP 1.5 gestiona de manera incorrecta las previsualizaciones de archivo, lo que conduce a la suplantación de contenido. NOTA: el mantenedor de software discute que esto sea una vulnerabilidad.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/08/2024

Vulnerabilidad en CuppaCMS (CVE-2018-19559)

Fecha de publicación:
26/11/2018
Idioma:
Español
CuppaCMS, en versiones anteriores a la 12/11/2018, tiene inyección SQL en administrator/classes/ajax/functions.php mediante el parámetro reference_id.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
18/12/2018

Vulnerabilidad en arcms (CVE-2018-19558)

Fecha de publicación:
26/11/2018
Idioma:
Español
Se ha descubierto un problema en arcms hasta el 19/03/2018. Existe inyección SQL mediante el parámetro limit en json/newslist debido a ctl/main/Json.php, ctl/main/service/Data.php y comp/Db/Mysql.php.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
19/12/2018

Vulnerabilidad en arcms (CVE-2018-19557)

Fecha de publicación:
26/11/2018
Idioma:
Español
Se ha descubierto un problema en arcms hasta la versión 19/03/2018. Se requiere la autenticación para index/main, user/useradd o img/images.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
19/12/2018

Vulnerabilidad en PHPok (CVE-2018-19562)

Fecha de publicación:
26/11/2018
Idioma:
Español
Se ha descubierto un problema en la versión 4.9.015 de PHPok. admin.php?c=updatef=unzip permite a los atacantes remotos ejecutar código arbitrario mediante una acción "Login Background > Program Upgrade > Compressed Packet Upgrade" en el que un archivo .php se encuentra dentro de un archivo ZIP.
Gravedad CVSS v3.1: ALTA
Última modificación:
19/12/2018

Vulnerabilidad en tp4a TELEPORT (CVE-2018-19555)

Fecha de publicación:
26/11/2018
Idioma:
Español
La versión 3.1.0 de tp4a TELEPORT tiene Cross-Site Request Forgery (CSRF) mediante user/do-reset-password, lo que permite el cambio de cualquier contraseña como, por ejemplo, la del administrador.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/12/2018

Vulnerabilidad en sikcms (CVE-2018-19561)

Fecha de publicación:
26/11/2018
Idioma:
Español
La versión 1.1 de sikcms tiene CSRF mediante admin.php?m=Adminc=Usersa=userAdd para añadir una cuenta de administrador.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/12/2018