Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ColdFusion (CVE-2019-7839)

Fecha de publicación:
12/06/2019
Idioma:
Español
Las versiones ColdFusion actualización 3 y anteriores, actualización 10 y anteriores, y actualización 18 y anteriores tienen una vulnerabilidad de inyección de comandos. La operación con éxito podría llevar a la ejecución de código arbitrario.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/09/2020

Vulnerabilidad en ColdFusion (CVE-2019-7840)

Fecha de publicación:
12/06/2019
Idioma:
Español
Las versiones ColdFusion actualización 3 y anteriores, actualización 10 y anterior, y actualización 18 y anterior tienen una desrealización de vulnerabilidad de datos no seguros. Una operación con éxito, lleva a una ejecución de código arbitrario.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/09/2020

Vulnerabilidad en IP Dahua IPC-HFW1XXX, (CVE-2019-9676)

Fecha de publicación:
12/06/2019
Idioma:
Español
Vulnerabilidad de desbordamiento de búfer encontrada en algunos dispositivos de cámara IP Dahua IPC-HFW1XXX, IPC-HDW1XXX, IPC-HFW2XXX Compilación antes del 2018/11. La vulnerabilidad se encuentra en la función de redireccionamiento de la información de impresión del puerto serie, que no puede ser utilizada por las funciones básicas del producto. Después de que un atacante inicia sesión localmente, esta vulnerabilidad puede ser explotada para provocar el reinicio del dispositivo o la ejecución de código arbitrario. Dahua identificó los problemas de seguridad correspondientes en el proceso de auditoría de código estático, por lo que gradualmente eliminó esta función, que ya no está disponible en los dispositivos y software más nuevos. Dahua ha lanzado versiones de los productos afectados para corregir la vulnerabilidad.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/06/2019

Vulnerabilidad en El Fuji Electric V-Server anterior a versión (CVE-2019-3946)

Fecha de publicación:
12/06/2019
Idioma:
Español
El Fuji Electric V-Server anterior a versión 6.0.33.0, es vulnerable a la denegación de servicio por medio de un mensaje UDP creado en el puerto 8005. Un atacante remoto no identificado puede bloquear el archivo vserver.exe debido a un desbordamiento de enteros en la lógica de manejo de mensajes UDP.
Gravedad CVSS v3.1: ALTA
Última modificación:
14/06/2019

Vulnerabilidad en La función FTP de SAP (CVE-2019-0304)

Fecha de publicación:
12/06/2019
Idioma:
Español
La función FTP de SAP NetWeaver AS ABAP Platform, versiones- KRNL32NUC 7.21, 7.21EXT, 7.22, 7.22EXT, KRNL32UC 7.21, 7.21EXT, 7.22, 7.22EXT, KRNL64NUC 7.21, 7.21EXT, 7.22EXT, 7.49, KRNL6464 7.21 EXT, 7.22, 7.22EXT, 7.49, 7.73, KERNEL 7.21, 7.45, 7.49, 7.53, 7.73, permite a un atacante inyectar un código o un comando específicamente manipulado que puede ser ejecutado por la aplicación. Por lo tanto, un atacante podría de este modo controlar el comportamiento de la aplicación.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/07/2021

Vulnerabilidad en SAP NetWeaver (CVE-2019-0305)

Fecha de publicación:
12/06/2019
Idioma:
Español
Las páginas de servidor Java (JSP) proporcionadas por la integración de procesos de SAP NetWeaver (SAP_XIESR y SAP_XITOOL: versión 7.10 hasta 7.11, y versiones 7.20, 7.30, 7.31, 7.40, 7.50) no restringen o restringen incorrectamente los objetos frame o las capas IU que pertenecen a otra aplicación o dominio , resultando en una vulnerabilidad de tipo clickjacking. La explotación con éxito de esta vulnerabilidad conlleva a una modificación no deseada de los datos del usuario.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/07/2021

Vulnerabilidad en SAP E-Commerce (Business-to-Consumer application) (CVE-2019-0308)

Fecha de publicación:
12/06/2019
Idioma:
Español
Un atacante identificado en SAP E-Commerce (Business-to-Consumer application) versiones 7.3, 7.31, 7.32, 7.33, 7.54 pueden cambiar el precio del producto a cero y además pagar inyectando un código HTML en la aplicación que será ejecutada en cualquier lugar que está la víctima se conecte en la aplicación o incluso en una máquina diferente, lo que conlleva a un código de inyección
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/07/2021

Vulnerabilidad en Spring Security OAuth (CVE-2019-11269)

Fecha de publicación:
12/06/2019
Idioma:
Español
Spring Security OAuth versiones 2.3 anteriores a 2.3.6, 2.2 anteriores a 2.2.5, 2.1 anteriores a 2.1.5 y 2.0 anteriores a 2.0.18, así como versiones anteriores no compatibles podrían ser susceptibles a un ataque de redirector abierto que pueda filtrar un código de autorización. Un usuario o atacante malicioso puede crear una solicitud para el punto final de autorización utilizando el tipo de concesión de código de autorización y especificar un URI de redireccionamiento manipulado a través del parámetro redirect_uri. Esto puede hacer que el servidor de autorización redirija el agente de usuario propietario del recurso a un URI bajo el control del atacante con el código de autorización filtrado
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/01/2021

Vulnerabilidad en Los Servicios de Aplicación Extendidos de SAP HANA (CVE-2019-0306)

Fecha de publicación:
12/06/2019
Idioma:
Español
Los Servicios de Aplicación Extendidos de SAP HANA (modelo avanzado), versión 1, permiten a los usuarios identificados de la Plataforma Avanzada XS con privilegios bajos, como SpaceAuditors, ejecutar solicitudes para obtener una lista completa de los identificadores y nombres de usuario de SAP HANA.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/08/2020

Vulnerabilidad en Diagnostics Agent en Solution Manager (CVE-2019-0307)

Fecha de publicación:
12/06/2019
Idioma:
Español
Diagnostics Agent en Solution Manager, versión 7.2, almacena varias credenciales, como la conexión de usuario de SLD y la comunicación de usuario de Solman en el archivo SAP Secure Storage que no está cifrado de forma predeterminada. Al descodificar estas credenciales, un atacante con privilegios de administrador podría obtener acceso a toda la configuración, pero no se puede obtener información confidencial del sistema.
Gravedad CVSS v3.1: BAJA
Última modificación:
24/08/2020

Vulnerabilidad en Fuji Electric V-Server (CVE-2019-3947)

Fecha de publicación:
12/06/2019
Idioma:
Español
Fuji Electric V-Server anterior 6.0.33.0 almacena credenciales en archivos de proyecto como plaintext un atacante que puede obtener accesos para los archivos de proyecto puede recuperar las credenciales de bases de datos y conseguir acceso a la base de datos del servidor
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/08/2020

Vulnerabilidad en LOGO! 8 de SIEMENS (CVE-2019-6584)

Fecha de publicación:
12/06/2019
Idioma:
Español
Una vulnerabilidad ha sido identificada en LOGO! 8 de SIEMENS (6ED1052-xyyxx-0BA8 FS:01 a FS:06 / versión de firmware V1.80.xx y V1.81.xx), SIEMENS LOGO! 8 (6ED1052-xyy08-0BA0 FS:01 / Versión de firmware
Gravedad CVSS v3.1: ALTA
Última modificación:
29/09/2020