Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Rockwell Automation CrontrolLogix (CVE-2017-6024)

Fecha de publicación:
06/05/2017
Idioma:
Español
Se ha descubierto un problema de agotamiento de recursos en Rockwell Automation ControlLogix 5580 en los controladores V28.011, V28.012 y V28.013.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/04/2025

Vulnerabilidad en diferentes dispositivos DS-2 de Hikvision (CVE-2017-7921)

Fecha de publicación:
06/05/2017
Idioma:
Español
Se detectó un problema de autenticación inapropiada en dispositivos DS-2CD2xx2F-I Series versiones V5.2.0 build 140721 hasta V5.4.0 build 160530, DS-2CD2xx0F-I Series versiones V5.2.0 build 140721 hasta V5.4.0 build 160530, DS-2CD2xx0F-I Series versiones V5.2.0 build 140721 hasta V5.4.0 build 160530, DS-2CD2xx0F-I Series versiones V5.2.0 build 140721 hasta V5.4.0 Build 160401, DS-2CD2xx2FWD Series versiones V5.3.1 build 150410 hasta V5.4.4 Build 161125, DS-2CD4x2xFWD Series versiones 5.2.0 build 140721 hasta V5.4.0 Build 160414, DS-2CD4xx5 Series versiones 5.2.0 build 140721 hasta V5.4.0 Build 160421, DS-2DFx Series versiones 5.2.0 build 140805 hasta V5.4.5 Build 160928 y Serie DS-2CD63xx versión 5.0.9 build 140305 hasta versión V5.3.5 Build 160106 de Hikvision. La vulnerabilidad de autenticación inapropiada ocurre cuando una aplicación no autentica adecuada o apropiadamente a los usuarios. Esto puede permitir a un usuario malicioso escalar sus privilegios en el sistema y conseguir acceso a información confidencial.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
20/04/2025

Vulnerabilidad en el componente de Administración de Instalación del Sistema Operativo en CA Client Automation (CVE-2017-8391)

Fecha de publicación:
06/05/2017
Idioma:
Español
El componente de Administración de Instalación del Sistema Operativo en CA Client Automation versiones r12.9, r14.0 y r14.0 SP1, coloca una contraseña cifrada en un archivo local legible durante la instalación del sistema operativo, lo que permite a usuarios locales obtener información confidencial por la lectura de este archivo después de la instalación del sistema operativo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/04/2025

Vulnerabilidad en CyberVision Kaa IoT Platform (CVE-2017-7911)

Fecha de publicación:
06/05/2017
Idioma:
Español
Se ha descubierto un fallo de inyección de código en la versión 0.7.4 de CyberVision Kaa IoT Platform. Se ha identificado una vulnerabilidad de encapsulamiento insuficiente que podría permitir la ejecución remota de código.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/04/2025

Vulnerabilidad en atvise scada de Certec EDV GmbH (CVE-2017-6029)

Fecha de publicación:
06/05/2017
Idioma:
Español
Un problema de Cross-Site Scripting fue descubierto en atvise scada de Certec EDV GmbH versiones anteriores a 3.0. Esto puede permitir la ejecución remota de código.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/04/2025

Vulnerabilidad en los encabezados HTTP en atvise scada de Certec EDV GmbH (CVE-2017-6031)

Fecha de publicación:
06/05/2017
Idioma:
Español
Se detectó un problema de Inyección de Encabezado en atvise scada anterior a versión 3.0 de Certec EDV GmbH. Se ha identificado un problema de "improper neutralization of HTTP headers for scripting syntax", que puede permitir la ejecución de código remota.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/04/2025

Vulnerabilidad en la interfaz web en B+B SmartWorx MESR901 de Advantech (CVE-2017-7909)

Fecha de publicación:
06/05/2017
Idioma:
Español
Un problema de uso de autenticación del lado del cliente se detectó en B+B SmartWorx MESR901 versiones de firmwares 1.5.2 y anteriores de Advantech. La interfaz web utiliza JavaScript para comprobar la autenticación de cliente y redireccionar a los usuarios no autorizados. Los atacantes pueden interceptar peticiones y omitir la autenticación para acceder a páginas web restringidas.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
20/04/2025

Vulnerabilidad en la contraseña en el archivo de configuración en diferentes modelos de cámara de Dahua (CVE-2017-7925)

Fecha de publicación:
06/05/2017
Idioma:
Español
Se detectó un problema de Contraseña en el Archivo de Configuración en cámaras DH-IPC-HDBW23A0RN-ZS, DH-IPC-HDBW13A0SN, DH-IPC-HDW1XXX, DH-IPC-HDW2XXX, DH-IPC-HDW4XXX, DH-IPC-HFW1XXX, DH-IPC-HFW2XXX, DH-IPC-HFW4XXX, DH-SD6CXX, DH-NVR1XXX, DH-HCVR4XXX, DH-HCVR5XXX, DHI-HCVR51A04HE-S3, DHI-HCVR51A08HE-S3 y DHI-HCVR58A32S-S2, de Dahua . Se identificó una vulnerabilidad de contraseña en el archivo de configuración, lo que podría conllevar a un usuario malicioso a asumir la identidad de un usuario con privilegios y conseguir acceso a información confidencial.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
20/04/2025

Vulnerabilidad en el hash de contraseña de Dahua (CVE-2017-7927)

Fecha de publicación:
06/05/2017
Idioma:
Español
Un problema de Uso del Hash de Contraseña en Lugar de Contraseña para Autenticación se detectó en cámaras DH-IPC-HDBW23A0RN-ZS, DH-IPC-HDBW13A0SN, DH-IPC-HDW1XXX, DH-IPC-HDW2XXX, DH-IPC-HDW4XXX, DH-IPC-HFW1XXX, DH-IPC-HFW2XXX, DH-IPC-HFW4XXX, DH-SD6CXX, DH-NVR1XXX, DH-HCVR4XXX, DH-HCVR5XXX, DHI-HCVR51A04HE-S3, DHI-HCVR51A08HE-S3 y DHI-HCVR58A32S-S2, de Dahua. Se identificó el uso de hash de contraseña en lugar de la contraseña para la vulnerabilidad de autenticación, lo que podría permitir a un usuario malicioso omitir la autenticación sin obtener la contraseña actual.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/04/2025

Vulnerabilidad en el sistema de archivos WebAccess de Advantech (CVE-2017-7929)

Fecha de publicación:
06/05/2017
Idioma:
Español
Se detectó un problema de Salto de Ruta (Path) Absoluto en WebAccess Versión 8.1 y anteriores. Se ha identificado la vulnerabilidad de salto de ruta (path) absoluta, que puede permitir a un atacante atravesar el sistema de archivos para acceder a archivos o directorios restringidos.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/04/2025

Vulnerabilidad en Citrix XenMobile Server (CVE-2016-6877)

Fecha de publicación:
05/05/2017
Idioma:
Español
**EN DISPUTA** Citrix XenMobile Server en versiones anteriores a la 10.5.0.24 permite a atacantes man-in-the-middle lanzar redirecciones HTTP 302 a través de vectores relacionados con la cabecera HTTP Host y una página cacheada. NOTA: El fabricante informa "nuestro análisis interno de este problema concluye en que esto no fue una vulnerabilidad válida" porque un escenario donde se explote implica un ataque man-in-the-middle contra una sesión TLS.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/04/2025

Vulnerabilidad en IBM Tivoli Storage Manager (CVE-2016-8916)

Fecha de publicación:
05/05/2017
Idioma:
Español
IBM Tivoli Storage Manager en versiones 5.5, 6.1-6.4, y 7.1 almacena información de contraseñas en un fichero de log que puede ser leído por un usuario local cuando se ejecuta un comando set passsword. IBM X-Force ID: 118472.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/04/2025