Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en dispositivos Vgate iCar 2 Wi-Fi OBD2 Dongle (CVE-2018-11476)

Fecha de publicación:
30/05/2018
Idioma:
Español
Se ha descubierto un problema en los dispositivos Vgate iCar 2 Wi-Fi OBD2 Dongle. El dongle abre una LAN inalámbrica no protegida que no puede configurarse con cifrado o con una contraseña. Esto permite que cualquier persona que esté en el rango de la WLAN se conecte a la red sin autenticación.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/07/2018

Vulnerabilidad en dispositivos Vgate iCar 2 Wi-Fi OBD2 Dongle (CVE-2018-11478)

Fecha de publicación:
30/05/2018
Idioma:
Español
Se ha descubierto un problema en los dispositivos Vgate iCar 2 Wi-Fi OBD2 Dongle. El puerto OBD se emplea para recibir datos de mediciones e información de depuración del coche. Esta característica de diagnóstico a bordo puede emplearse también para enviar comandos al vehículo (esto difiere para cada fabricante/línea de producto del vehículo/vehículo). No se necesita autenticación, lo que permite ataques desde la red Wi-Fi local.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/07/2018

Vulnerabilidad en Stealth Authorization Server en Unisys Stealth Solution (CVE-2018-7534)

Fecha de publicación:
30/05/2018
Idioma:
Español
En Stealth Authorization Server en versiones anteriores a la 3.3.017.0 en Unisys Stealth Solution, una clave de cifrado podría dejarse en la memoria.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/07/2018

Vulnerabilidad en dispositivos TP-LINK (CVE-2018-11482)

Fecha de publicación:
30/05/2018
Idioma:
Español
/usr/lib/lua/luci/websys.lua en dispositivos TP-LINK IPC TL-IPC223(P)-6, TL-IPC323K-D, TL-IPC325(KP)-* y TL-IPC40A-4 tiene una contraseña zMiVw8Kw0oxKXL0 embebida.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/07/2018

Vulnerabilidad en dispositivos TP-Link (CVE-2018-11481)

Fecha de publicación:
30/05/2018
Idioma:
Español
Los dispositivos TP-LINK IPC TL-IPC223(P)-6, TL-IPC323K-D, TL-IPC325(KP)-* y TL-IPC40A-4 permiten la ejecución remota de código mediante datos JSON manipulados debido a que /usr/lib/lua/luci/torchlight/validator.lua no bloquea varios caracteres de puntuación.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/07/2018

Vulnerabilidad en dispositivos Vgate iCar 2 Wi-Fi OBD2 Dongle (CVE-2018-11477)

Fecha de publicación:
30/05/2018
Idioma:
Español
Se ha descubierto un problema en los dispositivos Vgate iCar 2 Wi-Fi OBD2 Dongle. Los paquetes de datos que se envían entre la aplicación de iOS o Android y el dongle OBD no están cifrados. La combinación de esta vulnerabilidad con la falta de protección de la red inalámbrica expone todos los datos del coche transferidos al público.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/10/2019

Vulnerabilidad en Zimbra Collaboration Suite (CVE-2015-7610)

Fecha de publicación:
30/05/2018
Idioma:
Español
Vulnerabilidad Cross-Site Request Forgery (CSRF) en el formulario de inicio de sesión en Zimbra Collaboration Suite (ZCS) en versiones anteriores a la 8.6.0 Patch 10, versiones 8.7.x anteriores a la 8.7.11 Patch 2 y versiones 8.8.x anteriores a la 8.8.8 Patch 1 permite que atacantes remotos secuestren la autenticación de víctimas no especificadas aprovechando el error a la hora de emplear un token CSRF.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/06/2020

Vulnerabilidad en Zimbra Web Client en Zimbra Collaboration Suite (CVE-2018-10939)

Fecha de publicación:
30/05/2018
Idioma:
Español
Zimbra Web Client (ZWC) en Zimbra Collaboration Suite en versiones 8.8 anteriores a la 8.8.8.Patch4 y versiones 8.7 anteriores a la 8.7.11.Patch4 tiene Cross-Site Scripting (XSS) persistente mediante un grupo de contactos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/06/2020

Vulnerabilidad en la función rebuild_vlists en Graphviz (CVE-2018-10196)

Fecha de publicación:
30/05/2018
Idioma:
Español
Vulnerabilidad de desreferencia de puntero NULL en la función ebuild_vlists en lib/dotgen/conc.c en la biblioteca dotgen en Graphviz 2.40.1 permite que atacantes remotos provoquen una denegación de servicio (cierre inesperado de la aplicación) mediante un archivo manipulado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en MISP (CVE-2018-11562)

Fecha de publicación:
30/05/2018
Idioma:
Español
Se ha descubierto un problema en MISP 2.4.91. Una vulnerabilidad en app/View/Elements/eventattribute.ctp permite Cross-Site Scripting (XSS) reflejado si un usuario hace clic en un enlace malicioso para una vista de eventos y luego hace clic en el filtro rápido de atributos eliminados.
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/06/2018

Vulnerabilidad en sistemas IVR heredados de HCL (CVE-2018-11518)

Fecha de publicación:
30/05/2018
Idioma:
Español
Una vulnerabilidad permite un ataque de phreaking en los sistemas IVR heredados de HCL que no emplean VoIP. Estos sistemas IVR dependen de varias frecuencias de señales de audio; se procesan ciertos comandos y funciones en base a dichas frecuencias. Ya que estas frecuentas se aceptan en una llamada telefónica, un atacante puede grabar estas frecuencias y emplearlas para realizar activaciones de servicios. Este es un problema de Request-Forgery cuando la serie de señales DTMF requerida para activar un servicio es predecible (por ejemplo, el sistema IVR no comunica un nonce al llamante). En este caso, el sistema IVR acepta una petición de activación de un canal menos seguro (cualquier altavoz en el entorno físico del llamante) sin verificar que la petición sea intencional (coincide con un nonce que se ha enviado por medio de un canal más seguro al auricular del llamante).
Gravedad CVSS v3.1: ALTA
Última modificación:
20/07/2018

Vulnerabilidad en SchedMD Slurm (CVE-2018-10995)

Fecha de publicación:
30/05/2018
Idioma:
Español
SchedMD Slurm en versiones anteriores a la 17.02.11 y versiones 17.1x.x anteriores a la 17.11.7 gestiona de manera incorrecta los nombres de usuario (también conocidos como campos user_name) y los ID de grupo (también conocidos como campos gid).
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/10/2019