Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en SAP NetWeaver Process Integration (CVE-2019-0315)

Fecha de publicación:
12/06/2019
Idioma:
Español
Bajo ciertas condiciones, la interfaz de usuario web de PI Integration Builder de SAP NetWeaver Process Integration (versiones: SAP_XIESR: 7.10 a 7.11, 7.20, 7.30, 7.31, 7.40, 7.50, SAP_XITOOL: 7.10 a 7.11, 7.30, 7.31, 7.40, 7.50 y SAP_XIPCK 7.10 a 7.11, 7.20, 7.30) permite a un atacante acceder a las contraseñas utilizadas en los canales FTP que conducen a la divulgación de información.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/08/2020

Vulnerabilidad en Las versiones de Adobe Flash Player (CVE-2019-7845)

Fecha de publicación:
12/06/2019
Idioma:
Español
Las versiones de Adobe Flash Player 32.0.0.192 y anteriores 3.20.0.0.192 y anteriores tiene un use después de vulnerabilidad gratuita. La operación con éxito podría llevar a un código arbitrario de ejecución
Gravedad CVSS v3.1: ALTA
Última modificación:
18/04/2022

Vulnerabilidad en Congiurator para Devicenet Safety (CVE-2019-10971)

Fecha de publicación:
12/06/2019
Idioma:
Español
La aplicación (Network Congiurator para Devicenet Safety 3.41 y priores ) busca recursos a través de una ruta de búsqueda no confiable que podría ejecutar un archivo .dll malicioso que no está bajo el control directo de la aplicación y fuera de los directorios previstos.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/10/2019

Vulnerabilidad en (Billion Laughs Attack) en Pippo (CVE-2019-5442)

Fecha de publicación:
12/06/2019
Idioma:
Español
expansión de la entidad XML (Billion Laughs Attack) en Pippo 1.12.0 da como resultado Denegación de servicio. Las entidades se crean de forma recursiva y se toman grandes cantidades de memoria de almacenamiento dinámico. Eventualmente, el proceso JVM se quedará sin memoria. De lo contrario, si el sistema operativo no vincula la memoria en ese proceso, la memoria continuará agotándose y afectará a otros procesos en el sistem
Gravedad CVSS v3.1: ALTA
Última modificación:
16/10/2020

Vulnerabilidad en ColdFusion UpColdFusion (CVE-2019-7838)

Fecha de publicación:
12/06/2019
Idioma:
Español
Las versiones ColdFusion Update 3 y anteriores, actualización 10 y anteriores y actualización 18 y anteriores tienen una vulnerabilidad de omisión de la lista negra de extensión de archivo. La explotación exitosa podría llevar a la ejecución de código arbitrario.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/09/2020

Vulnerabilidad en ColdFusion (CVE-2019-7839)

Fecha de publicación:
12/06/2019
Idioma:
Español
Las versiones ColdFusion actualización 3 y anteriores, actualización 10 y anteriores, y actualización 18 y anteriores tienen una vulnerabilidad de inyección de comandos. La operación con éxito podría llevar a la ejecución de código arbitrario.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/09/2020

Vulnerabilidad en ColdFusion (CVE-2019-7840)

Fecha de publicación:
12/06/2019
Idioma:
Español
Las versiones ColdFusion actualización 3 y anteriores, actualización 10 y anterior, y actualización 18 y anterior tienen una desrealización de vulnerabilidad de datos no seguros. Una operación con éxito, lleva a una ejecución de código arbitrario.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/09/2020

Vulnerabilidad en IP Dahua IPC-HFW1XXX, (CVE-2019-9676)

Fecha de publicación:
12/06/2019
Idioma:
Español
Vulnerabilidad de desbordamiento de búfer encontrada en algunos dispositivos de cámara IP Dahua IPC-HFW1XXX, IPC-HDW1XXX, IPC-HFW2XXX Compilación antes del 2018/11. La vulnerabilidad se encuentra en la función de redireccionamiento de la información de impresión del puerto serie, que no puede ser utilizada por las funciones básicas del producto. Después de que un atacante inicia sesión localmente, esta vulnerabilidad puede ser explotada para provocar el reinicio del dispositivo o la ejecución de código arbitrario. Dahua identificó los problemas de seguridad correspondientes en el proceso de auditoría de código estático, por lo que gradualmente eliminó esta función, que ya no está disponible en los dispositivos y software más nuevos. Dahua ha lanzado versiones de los productos afectados para corregir la vulnerabilidad.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/06/2019

Vulnerabilidad en El Fuji Electric V-Server anterior a versión (CVE-2019-3946)

Fecha de publicación:
12/06/2019
Idioma:
Español
El Fuji Electric V-Server anterior a versión 6.0.33.0, es vulnerable a la denegación de servicio por medio de un mensaje UDP creado en el puerto 8005. Un atacante remoto no identificado puede bloquear el archivo vserver.exe debido a un desbordamiento de enteros en la lógica de manejo de mensajes UDP.
Gravedad CVSS v3.1: ALTA
Última modificación:
14/06/2019

Vulnerabilidad en La función FTP de SAP (CVE-2019-0304)

Fecha de publicación:
12/06/2019
Idioma:
Español
La función FTP de SAP NetWeaver AS ABAP Platform, versiones- KRNL32NUC 7.21, 7.21EXT, 7.22, 7.22EXT, KRNL32UC 7.21, 7.21EXT, 7.22, 7.22EXT, KRNL64NUC 7.21, 7.21EXT, 7.22EXT, 7.49, KRNL6464 7.21 EXT, 7.22, 7.22EXT, 7.49, 7.73, KERNEL 7.21, 7.45, 7.49, 7.53, 7.73, permite a un atacante inyectar un código o un comando específicamente manipulado que puede ser ejecutado por la aplicación. Por lo tanto, un atacante podría de este modo controlar el comportamiento de la aplicación.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/07/2021

Vulnerabilidad en SAP NetWeaver (CVE-2019-0305)

Fecha de publicación:
12/06/2019
Idioma:
Español
Las páginas de servidor Java (JSP) proporcionadas por la integración de procesos de SAP NetWeaver (SAP_XIESR y SAP_XITOOL: versión 7.10 hasta 7.11, y versiones 7.20, 7.30, 7.31, 7.40, 7.50) no restringen o restringen incorrectamente los objetos frame o las capas IU que pertenecen a otra aplicación o dominio , resultando en una vulnerabilidad de tipo clickjacking. La explotación con éxito de esta vulnerabilidad conlleva a una modificación no deseada de los datos del usuario.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/07/2021

Vulnerabilidad en SAP E-Commerce (Business-to-Consumer application) (CVE-2019-0308)

Fecha de publicación:
12/06/2019
Idioma:
Español
Un atacante identificado en SAP E-Commerce (Business-to-Consumer application) versiones 7.3, 7.31, 7.32, 7.33, 7.54 pueden cambiar el precio del producto a cero y además pagar inyectando un código HTML en la aplicación que será ejecutada en cualquier lugar que está la víctima se conecte en la aplicación o incluso en una máquina diferente, lo que conlleva a un código de inyección
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/07/2021