Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Tuned (CVE-2024-52336)

Fecha de publicación:
26/11/2024
Idioma:
Español
Se identificó una vulnerabilidad de inyección de scripts en el paquete Tuned. La función `instance_create()` de D-Bus puede ser invocada por usuarios que hayan iniciado sesión localmente sin autenticación. Esta falla permite que un usuario local sin privilegios ejecute una llamada de D-Bus con opciones `script_pre` o `script_post` que permiten pasar scripts arbitrarios con sus rutas absolutas. Estos scripts o programas ejecutables controlados por el usuario o el atacante podrían ser ejecutados por Tuned con privilegios de superusuario, lo que podría permitir a los atacantes una escalada de privilegios local.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/02/2025

Vulnerabilidad en Tuned (CVE-2024-52337)

Fecha de publicación:
26/11/2024
Idioma:
Español
Se encontró una falla de suplantación de registros en el paquete Tuned debido a una desinfección incorrecta de algunos argumentos de la API. Esta falla permite a un atacante pasar una secuencia controlada de caracteres; se pueden insertar nuevas líneas en el registro. En lugar de la línea 'evil', el atacante podría imitar una línea de registro válida de TuneD y engañar al administrador. Las comillas '' se utilizan generalmente en los registros de TuneD que citan la entrada del usuario sin procesar, por lo que siempre habrá el carácter ' al final de la entrada suplantada, y el administrador puede pasarlo por alto fácilmente. Esta cadena registrada se utiliza más tarde en el registro y en la salida de utilidades, por ejemplo, `tuned-adm get_instances` u otros programas de terceros que utilizan la interfaz D-Bus de Tuned para tales operaciones.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/02/2025

Vulnerabilidad en Zabbix (CVE-2024-22117)

Fecha de publicación:
26/11/2024
Idioma:
Español
Cuando se agrega una URL al elemento de mapa, se registra en la base de datos con identificadores secuenciales. Al agregar una nueva URL, el sistema recupera el último valor de sysmapelementurlid y lo incrementa en uno. Sin embargo, surge un problema cuando un usuario cambia manualmente el valor de sysmapelementurlid agregando sysmapelementurlid + 1. Esta acción evita que otros agreguen URL al elemento de mapa.
Gravedad CVSS v3.1: BAJA
Última modificación:
08/10/2025

Vulnerabilidad en atob en "Zabbix JS" (CVE-2024-36463)

Fecha de publicación:
26/11/2024
Idioma:
Español
La implementación de atob en "Zabbix JS" permite crear una cadena con contenido arbitrario y usarla para acceder a las propiedades internas de los objetos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/10/2025

Vulnerabilidad en Elementor Website Builder – More than Just a Page Builder para WordPress (CVE-2024-8236)

Fecha de publicación:
26/11/2024
Idioma:
Español
El complemento Elementor Website Builder – More than Just a Page Builder para WordPress es vulnerable a cross-site scripting almacenada a través del parámetro 'url' del widget de ícono en todas las versiones hasta la 3.25.7 incluida, debido a una desinfección de entrada y un escape de salida insuficientes. Esto permite que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten secuencias de comandos web arbitrarias en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Gravedad CVSS v3.1: MEDIA
Última modificación:
21/04/2025

Vulnerabilidad en Total Upkeep – WordPress Backup Plugin plus Restore & Migrate de BoldGrid para WordPress (CVE-2024-9461)

Fecha de publicación:
26/11/2024
Idioma:
Español
El complemento Total Upkeep – WordPress Backup Plugin plus Restore & Migrate de BoldGrid para WordPress es vulnerable a la ejecución remota de código en todas las versiones hasta la 1.16.6 incluida a través del parámetro cron_interval. Esto se debe a la falta de validación y desinfección de entradas. Esto hace posible que atacantes autenticados, con acceso de nivel de administrador o superior, ejecuten código en el servidor.
Gravedad CVSS v3.1: ALTA
Última modificación:
22/05/2025

Vulnerabilidad en NSD570 (CVE-2024-9928)

Fecha de publicación:
26/11/2024
Idioma:
Español
Existe una vulnerabilidad en el panel de inicio de sesión de NSD570 que no restringe los intentos de autenticación excesivos. Si se explota, esto podría provocar la apropiación de cuentas y el acceso no autorizado al sistema cuando un atacante realiza ataques de fuerza bruta contra el inicio de sesión del equipo. Tenga en cuenta que el sistema solo admite una sesión simultánea e implementa un retraso de más de un segundo entre los intentos de inicio de sesión fallidos, lo que dificulta la automatización de los ataques.
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/11/2024

Vulnerabilidad en NSD570 (CVE-2024-9929)

Fecha de publicación:
26/11/2024
Idioma:
Español
Existe una vulnerabilidad en NSD570 que permite a cualquier usuario autenticado acceder a todos los registros del dispositivo revelando información de inicio de sesión con marcas de tiempo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/11/2024

Vulnerabilidad en Firefox (CVE-2024-53975)

Fecha de publicación:
26/11/2024
Idioma:
Español
Acceder a un sitio HTTP no seguro que utiliza un puerto inexistente puede provocar que el icono del candado SSL en la barra de URL de ubicación parezca seguro, de manera engañosa. Esta vulnerabilidad afecta a Firefox para iOS < 133.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/10/2025

Vulnerabilidad en Firefox (CVE-2024-53976)

Fecha de publicación:
26/11/2024
Idioma:
Español
En determinadas circunstancias, al navegar a una página web, la dirección no aparecía en la barra de direcciones URL, por lo que no quedaba claro cuál era la URL de la página web cargada. Esta vulnerabilidad afecta a Firefox para iOS < 133.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/04/2025

Vulnerabilidad en Firefox y Thunderbird (CVE-2024-11706)

Fecha de publicación:
26/11/2024
Idioma:
Español
Es posible que se haya producido una desreferencia de puntero nulo por accidente en `pk12util`, y específicamente en la función `SEC_ASN1DecodeItem_Util`, al manejar archivos de entrada mal formados o con formato incorrecto. Esta vulnerabilidad afecta a Firefox < 133 y Thunderbird < 133.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/04/2025

Vulnerabilidad en Firefox y Thunderbird (CVE-2024-11708)

Fecha de publicación:
26/11/2024
Idioma:
Español
La falta de primitivas de sincronización de subprocesos podría haber provocado una ejecución de datos en los miembros de la estructura PlaybackParams. Esta vulnerabilidad afecta a Firefox < 133 y Thunderbird < 133.
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/04/2025