Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Offshorent Softwares Pvt. Ltd. | Jinesh.P.V OS Pricing Tables (CVE-2024-52343)

Fecha de publicación:
18/11/2024
Idioma:
Español
Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Offshorent Softwares Pvt. Ltd. | Jinesh.P.V OS Pricing Tables permiten XSS almacenado. Este problema afecta a las tablas de precios del sistema operativo: desde n/a hasta 1.2.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/11/2024

Vulnerabilidad en Muhammad Junaid Provide Forex Signals (CVE-2024-52344)

Fecha de publicación:
18/11/2024
Idioma:
Español
La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Muhammad Junaid Provide Forex Signals permite XSS almacenado. Este problema afecta a Provide Forex Signals: desde n/a hasta 1.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/11/2024

Vulnerabilidad en Oracle Agile PLM Framework de Oracle Supply Chain (CVE-2024-21287)

Fecha de publicación:
18/11/2024
Idioma:
Español
Vulnerabilidad en el producto Oracle Agile PLM Framework de Oracle Supply Chain (componente: Kit de desarrollo de software, extensión de proceso). La versión compatible afectada es la 9.3.6. Esta vulnerabilidad, que se puede explotar fácilmente, permite que un atacante no autenticado con acceso a la red a través de HTTP ponga en peligro Oracle Agile PLM Framework. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado un acceso no autorizado a datos críticos o un acceso completo a todos los datos accesibles de Oracle Agile PLM Framework. Puntuación base de CVSS 3.1: 7,5 (impactos de confidencialidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N).
Gravedad CVSS v3.1: ALTA
Última modificación:
27/10/2025

Vulnerabilidad en Google for WooCommerce para WordPress (CVE-2024-10486)

Fecha de publicación:
18/11/2024
Idioma:
Español
El complemento Google for WooCommerce para WordPress es vulnerable a la divulgación de información en todas las versiones hasta la 2.8.6 incluida. Esto se debe al archivo print_php_information.php, de acceso público. Esto permite que atacantes no autenticados obtengan información sobre el servidor web y la configuración de PHP, que puede utilizarse para facilitar otros ataques.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/11/2024

Vulnerabilidad en Autolab (CVE-2024-52584)

Fecha de publicación:
18/11/2024
Idioma:
Español
Autolab es un servicio de gestión de cursos que permite la calificación automática de tareas de programación. Existe una vulnerabilidad en la versión 3.0.1 en la que los CA pueden ver o editar la calificación de cualquier ID de envío, incluso si no son CA de la clase que tiene el envío. Los endpoints solo verifican que los CA tengan el nivel de autorización de un CA de la clase en el endpoint, que no es necesariamente la clase a la que está asociado el envío. La versión 3.0.2 contiene un parche. No hay workarounds disponibles.
Gravedad CVSS v4.0: MEDIA
Última modificación:
21/01/2025

Vulnerabilidad en Autolab (CVE-2024-52585)

Fecha de publicación:
18/11/2024
Idioma:
Español
Autolab es un servicio de gestión de cursos que permite la calificación automática de tareas de programación. Existe una vulnerabilidad de inyección de HTML en la versión 3.0.1 que puede afectar a los instructores y a los CA en la página de envío de calificaciones. El problema se solucionó en la versión 3.0.2. Se puede aplicar el parche manualmente editando la línea 589 en `gradesheet.js.erb` para que los comentarios se tomen como texto en lugar de HTML.
Gravedad CVSS v4.0: BAJA
Última modificación:
21/01/2025

Vulnerabilidad en Micro-star International MSI Center Pro 2.1.37.0 (CVE-2024-50804)

Fecha de publicación:
18/11/2024
Idioma:
Español
La vulnerabilidad de permisos inseguros en Micro-star International MSI Center Pro 2.1.37.0 permite a un atacante local ejecutar código arbitrario a través del archivo Device_DeviceID.dat.bak dentro de la carpeta C:\ProgramData\MSI\One Dragon Center\Data
Gravedad CVSS v3.1: ALTA
Última modificación:
19/11/2024

Vulnerabilidad en WorldServer v11.8.2 (CVE-2024-50848)

Fecha de publicación:
18/11/2024
Idioma:
Español
Una vulnerabilidad de entidad externa XML (XXE) en las funcionalidades de importación de objetos y memoria de traducción de WorldServer v11.8.2 para acceder a información confidencial y ejecutar comandos arbitrarios mediante el suministro de un archivo .tmx manipulado específicamente.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/10/2025

Vulnerabilidad en WordServer 11.8.2 (CVE-2024-50849)

Fecha de publicación:
18/11/2024
Idioma:
Español
Cross-Site Scripting (XSS) en la funcionalidad "Reglas" de WordServer 11.8.2 permite que un atacante remoto autenticado ejecute código arbitrario.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/10/2025

Vulnerabilidad en AVSCMS v8.2.0 (CVE-2024-51053)

Fecha de publicación:
18/11/2024
Idioma:
Español
Una vulnerabilidad de carga de archivos arbitrarios en el componente /main/fileupload.php de AVSCMS v8.2.0 permite a los atacantes ejecutar código arbitrario mediante la carga de un archivo manipulado específicamente.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
19/11/2024

Vulnerabilidad en GitHub (CVE-2024-52583)

Fecha de publicación:
18/11/2024
Idioma:
Español
El repositorio de GitHub de WesHacks proporciona el código fuente del sitio web oficial de la competencia de hackathon para el hackathon de Muweilah Wesgreen. La página `schedule.html` antes del 17 de noviembre de 2024 o el commit 93dfb83 contiene enlaces a `Leostop`, un sitio que aloja un archivo JavaScript malicioso inyectado que se produce cuando se ejecuta bootstrap y jquery. `Leostop` puede ser un malware de seguimiento y crea 2 archivos JavaScript, pero poco más se sabe al respecto. El sitio web de WesHacks elimina todas las referencias a `Leostop` a partir del 17 de noviembre de 2024.
Gravedad CVSS v3.1: ALTA
Última modificación:
19/11/2024

Vulnerabilidad en Graylog (CVE-2024-52506)

Fecha de publicación:
18/11/2024
Idioma:
Español
Graylog es una plataforma de gestión de registros abierta y gratuita. La función de generación de informes de Graylog permite la creación y programación de informes que contienen widgets de panel que muestran mensajes de registro individuales o métricas agregadas de campos de múltiples mensajes de registro. Esta función, incluida en Graylog 6.1.0 y 6.1.1, es vulnerable a la fuga de información provocada por múltiples solicitudes de generación de informes simultáneas de usuarios autorizados. Cuando se solicitan múltiples representaciones de informes al mismo tiempo de inicio, se reutilizará la instancia del navegador sin interfaz gráfica utilizada para generar el PDF. Según el momento, se realiza una comprobación de la "actualidad" de la instancia del navegador, lo que genera un error en lugar de devolver el informe, o bien una de las solicitudes de generación de informes simultáneas "gana" y este informe se devuelve para todas las solicitudes de generación de informes que no devuelven un error. Esto puede provocar que un usuario obtenga el informe de un usuario diferente, lo que podría filtrar mensajes de registro indexados o datos agregados a los que este usuario normalmente no tiene acceso. Este problema se solucionó en Graylog 6.1.2. No existe ningún workaround conocido, además de deshabilitar la función de generación de informes.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/11/2025