Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en OPNsense (CVE-2018-18958)

Fecha de publicación:
17/06/2019
Idioma:
Español
OPNsense versión 18.7.x en versiones anteriores a la 18.7.7 presenta un Control de Acceso Incorrecto.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/06/2019

Vulnerabilidad en RubyGems (CVE-2019-8323)

Fecha de publicación:
17/06/2019
Idioma:
Español
Se descubrió un error in RubyGems 2.6 y posteriormente hasta 3.0.2 Gem::GemcutterUtilities#with La respuesta puede generar la respuesta de la API a stdout tal como está. Por lo tanto, si el lado de la API modifica la respuesta, puede ocurrir una inyección de secuencia de escape.
Gravedad CVSS v3.1: ALTA
Última modificación:
19/08/2020

Vulnerabilidad en RubyGems (CVE-2019-8322)

Fecha de publicación:
17/06/2019
Idioma:
Español
Se descubrió un error en RubyGems 2.6 y mucho más tarde hasta 3.0.2 El comando de propietario de gemas envía el contenido de la respuesta de la API directamente a la salida estándar. Por lo tanto, si la respuesta es elaborada, puede ocurrir una inyección de secuencia de escape.
Gravedad CVSS v3.1: ALTA
Última modificación:
19/08/2020

Vulnerabilidad en RubyGems (CVE-2019-8321)

Fecha de publicación:
17/06/2019
Idioma:
Español
Se descubrió un error en RubyGems 2.6 y más tarde hasta 3.0.2. hasta Gem::UserInteraction#verbose Dado que las llamadas verbales Gem :: UserInteraction # verbose dicen que sin escape, la inyección de secuencia de escape es posible
Gravedad CVSS v3.1: ALTA
Última modificación:
19/08/2020

Vulnerabilidad en OX App Suite (CVE-2019-7158)

Fecha de publicación:
17/06/2019
Idioma:
Español
OX App Suite versión 7.10.0 y anteriores, presenta un control de acceso incorrecto.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/08/2020

Vulnerabilidad en Foxit Reader SDK (CVE-2018-19450)

Fecha de publicación:
17/06/2019
Idioma:
Español
Puede ocurrir una inyección de comando para archivos PDF especialmente creados en Foxit Reader SDK (ActiveX) versión 5.4.0.1031 cuando se analiza una acción launch. Un atacante puede explotar esto para obtener ejecución de código remota.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/06/2019

Vulnerabilidad en Foxit Reader SDK (CVE-2018-19445)

Fecha de publicación:
17/06/2019
Idioma:
Español
Puede ocurrir una inyección de comando para archivos PDF especialmente creados en Foxit Reader SDK (ActiveX) Professional versión 5.4.0.1031 cuando se utiliza la función app.launchURL de la API de JavaScript. Un atacante puede explotar esto para obtener ejecución de código remota.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/06/2019

Vulnerabilidad en Validate (CVE-2018-19444)

Fecha de publicación:
17/06/2019
Idioma:
Español
Puede ocurrir un uso de memoria previamente liberada en la acción Validate en el campo TextBox en la función IReader_ContentProvider para archivos PDF especialmente creados en Foxit Reader SDK (ActiveX) Professional versión 5.4.0.1031. Un atacante puede explotar esto para obtener ejecución de código remota. En relación con CVE-2018-19452, esta tiene una asignación libre distinta y requiere un código JavaScript diferente para su explotación.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/06/2019

Vulnerabilidad en Foxit Reader SDK (CVE-2018-19449)

Fecha de publicación:
17/06/2019
Idioma:
Español
Puede ocurrir una escritura de archivo para archivos PDF especialmente creados en Foxit Reader SDK (ActiveX) Professional versión 5.4.0.1031 cuando se utiliza la función Doc.exportAsFDF de la API de JavaScript. Un atacante puede explotar esto para obtener ejecución de código remota.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/06/2019

Vulnerabilidad en En Foxit Reader SDK (CVE-2018-19448)

Fecha de publicación:
17/06/2019
Idioma:
Español
En Foxit Reader SDK (ActiveX) Professional versión 5.4.0.1031, se presenta un objeto sin inicializar en la función IReader_ContentProvider::GetDocEventHandler cuando se incorpora el control de los documentos de Office. Al abrir un documento especialmente creado, un atacante puede desencadenar una condición de escritura fuera de límites, posiblemente aprovechando esto para obtener la ejecución de código remota.
Gravedad CVSS v3.1: ALTA
Última modificación:
18/06/2019

Vulnerabilidad en El archivo config/concrete.php (CVE-2018-19146)

Fecha de publicación:
17/06/2019
Idioma:
Español
Concrete5 versión 8.4.3, presenta una vulnerabilidad de tipo XSS porque el archivo config/concrete.php permite la carga (por administradores) de archivos SVG que pueden contener datos HTML con un elemento SCRIPT.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/07/2021

Vulnerabilidad en VeraEdge (CVE-2017-9389)

Fecha de publicación:
17/06/2019
Idioma:
Español
Se detectó un problema en los dispositivos VeraEdge versión 1.7.19 y Veralite versión 1.7.481 de Vera. El dispositivo proporciona una interfaz de usuario web que permite a un usuario administrar el dispositivo. Como parte de la funcionalidad, el dispositivo le permite al usuario instalar aplicaciones escritas en el lenguaje de programación Lua. Además, la interfaz permite a cualquier usuario escribir su aplicación en el lenguaje de programación Lua. Sin embargo, esta funcionalidad no está protegida por autenticación y permite que un atacante ejecute un código Lua arbitrario en el dispositivo. La petición POST se reenvía al demonio LuaUPNP en el dispositivo. Este binario maneja el código Lua recibido en la función "LU::JobHandler_LuaUPnP::RunLua(LU::JobHandler_LuaUPnP*__hidden this, LU::UPnPActionWrapper*)". El valor en el parámetro "code" se pasa luego a la función "LU::LuaInterface::RunCode(char const*)" que en realidad carga al motor Lua y ejecuta el código.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/06/2019