Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en GitHub (CVE-2024-52583)

Fecha de publicación:

18/11/2024

Idioma:

Español

El repositorio de GitHub de WesHacks proporciona el código fuente del sitio web oficial de la competencia de hackathon para el hackathon de Muweilah Wesgreen. La página `schedule.html` antes del 17 de noviembre de 2024 o el commit 93dfb83 contiene enlaces a `Leostop`, un sitio que aloja un archivo JavaScript malicioso inyectado que se produce cuando se ejecuta bootstrap y jquery. `Leostop` puede ser un malware de seguimiento y crea 2 archivos JavaScript, pero poco más se sabe al respecto. El sitio web de WesHacks elimina todas las referencias a `Leostop` a partir del 17 de noviembre de 2024.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/11/2024

Vulnerabilidad en Graylog (CVE-2024-52506)

Fecha de publicación:

18/11/2024

Idioma:

Español

Graylog es una plataforma de gestión de registros abierta y gratuita. La función de generación de informes de Graylog permite la creación y programación de informes que contienen widgets de panel que muestran mensajes de registro individuales o métricas agregadas de campos de múltiples mensajes de registro. Esta función, incluida en Graylog 6.1.0 y 6.1.1, es vulnerable a la fuga de información provocada por múltiples solicitudes de generación de informes simultáneas de usuarios autorizados. Cuando se solicitan múltiples representaciones de informes al mismo tiempo de inicio, se reutilizará la instancia del navegador sin interfaz gráfica utilizada para generar el PDF. Según el momento, se realiza una comprobación de la "actualidad" de la instancia del navegador, lo que genera un error en lugar de devolver el informe, o bien una de las solicitudes de generación de informes simultáneas "gana" y este informe se devuelve para todas las solicitudes de generación de informes que no devuelven un error. Esto puede provocar que un usuario obtenga el informe de un usuario diferente, lo que podría filtrar mensajes de registro indexados o datos agregados a los que este usuario normalmente no tiene acceso. Este problema se solucionó en Graylog 6.1.2. No existe ningún workaround conocido, además de deshabilitar la función de generación de informes.

Gravedad CVSS v4.0: ALTA

Última modificación:

03/11/2025

Vulnerabilidad en aiohttp (CVE-2024-52304)

Fecha de publicación:

18/11/2024

Idioma:

Español

aiohttp es un framework de trabajo de cliente/servidor HTTP asincrónico para asyncio y Python. Antes de la versión 3.10.11, el analizador de Python analiza incorrectamente las nuevas líneas en las extensiones de fragmentos, lo que puede provocar vulnerabilidades de contrabando de solicitudes en determinadas condiciones. Si se instala una versión Python pura de aiohttp (es decir, sin las extensiones C habituales) o se habilita `AIOHTTP_NO_EXTENSIONS`, un atacante puede ejecutar un ataque de contrabando de solicitudes para eludir determinados cortafuegos o protecciones de proxy. La versión 3.10.11 soluciona el problema.

Gravedad CVSS v4.0: MEDIA

Última modificación:

03/11/2025

Vulnerabilidad en aiohttp (CVE-2024-52303)

Fecha de publicación:

18/11/2024

Idioma:

Español

aiohttp es un framework de trabajo de cliente/servidor HTTP asincrónico para asyncio y Python. En las versiones a partir de la 3.10.6 y anteriores a la 3.10.11, puede producirse una pérdida de memoria cuando una solicitud produce un MatchInfoError. Esto se debía a que se añadía una entrada a una memoria caché en cada solicitud, debido a que la creación de cada MatchInfoError producía una entrada de memoria caché única. Un atacante podría agotar los recursos de memoria de un servidor enviando una cantidad sustancial (entre cientos y millones) de dichas solicitudes. Quienes utilicen cualquier middleware con aiohttp.web deberían actualizar a la versión 3.10.11 para recibir un parche.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/08/2025

Vulnerabilidad en PhpSpreadsheet (CVE-2024-48917)

Fecha de publicación:

18/11/2024

Idioma:

Español

PhpSpreadsheet es una librería PHP para leer y escribir archivos de hojas de cálculo. La clase `XmlScanner` tiene un método de escaneo que debería evitar ataques XXE. Sin embargo, en una omisión del `CVE-2024-47873` informado anteriormente, las expresiones regulares del método `findCharSet`, que se utiliza para determinar la codificación actual, se pueden omitir utilizando un payload en la codificación UTF-7 y agregando al final del archivo un comentario con el valor `encoding="UTF-8"` con `"`, que coincide con la primera expresión regular, de modo que `encoding=&#39;UTF-7&#39;` con comillas simples `&#39;` en el encabezado XML no coincida con la segunda expresión regular. Un atacante puede omitir el desinfectante y lograr un ataque de entidad externa XML. Las versiones 1.9.4, 2.1.3, 2.3.2 y 3.4.0 solucionan el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/03/2025

Vulnerabilidad en Jpress (CVE-2024-50919)

Fecha de publicación:

18/11/2024

Idioma:

Español

Hasta la versión v5.1.1, Jpress permite cargar archivos arbitrarios en la plataforma Windows, y la construcción de formatos de archivos no estándar como .jsp puede provocar la ejecución arbitraria de comandos.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

21/05/2025

Vulnerabilidad en MarkUs (CVE-2024-51499)

Fecha de publicación:

18/11/2024

Idioma:

Español

MarkUs es una aplicación web para el envío y calificación de tareas de estudiantes. En versiones anteriores a la 2.4.8, una vulnerabilidad de escritura de archivos arbitrarios accesible a través del método update_files de SubmissionsController permite a los usuarios autenticados (por ejemplo, estudiantes) escribir archivos arbitrarios en cualquier ubicación del servidor web en el que se ejecuta MarkUs (según los permisos del sistema de archivos subyacente). Esto puede provocar una ejecución de código remoto retrasada en caso de que un atacante pueda escribir un archivo Ruby en la subcarpeta config/initializers/ de la aplicación Ruby on Rails. MarkUs v2.4.8 ha solucionado este problema. No hay workarounds disponibles a nivel de aplicación aparte de la actualización.

Gravedad CVSS v4.0: ALTA

Última modificación:

04/09/2025

Vulnerabilidad en MarkUs (CVE-2024-51743)

Fecha de publicación:

18/11/2024

Idioma:

Español

MarkUs es una aplicación web para el envío y calificación de tareas de los estudiantes. En versiones anteriores a la 2.4.8, una vulnerabilidad de escritura de archivos arbitrarios en los métodos de actualización/carga/creación de archivos en los controladores permite a los instructores autenticados escribir archivos arbitrarios en cualquier ubicación del servidor web en el que se ejecuta MarkUs (según los permisos del sistema de archivos subyacente). Esto puede provocar una ejecución de código remoto retrasada en caso de que un atacante pueda escribir un archivo Ruby en la subcarpeta config/initializers/ de la aplicación Ruby on Rails. MarkUs v2.4.8 ha solucionado este problema. No hay workarounds disponibles a nivel de aplicación aparte de la actualización.

Gravedad CVSS v4.0: ALTA

Última modificación:

04/09/2025

Vulnerabilidad en QuickHeal Antivirus Pro 24.1.0.182 (CVE-2024-48293)

Fecha de publicación:

18/11/2024

Idioma:

Español

El control de acceso incorrecto en QuickHeal Antivirus Pro 24.1.0.182 y versiones anteriores permite a atacantes autenticados con privilegios de bajo nivel modificar arbitrariamente la configuración del antivirus.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/11/2024

Vulnerabilidad en libPdfCore.dll de Wondershare PDF Reader v1.0.9.2544 (CVE-2024-48294)

Fecha de publicación:

18/11/2024

Idioma:

Español

Una desreferencia de puntero NULL en el componente libPdfCore.dll de Wondershare PDF Reader v1.0.9.2544 permite a los atacantes provocar una denegación de servicio (DoS) a través de un archivo PDF manipulado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/11/2024

Vulnerabilidad en QuickHeal Antivirus Pro y Quick Heal Total Security (CVE-2024-48292)

Fecha de publicación:

18/11/2024

Idioma:

Español

Un problema en el servicio wssrvc.exe de QuickHeal Antivirus Pro versión v24.0 y Quick Heal Total Security v24.0 permite a atacantes autenticados escalar privilegios.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/11/2024

Vulnerabilidad en Mastodon (CVE-2023-49952)

Fecha de publicación:

18/11/2024

Idioma:

Español

Mastodon 4.1.x anterior a 4.1.17 y 4.2.x anterior a 4.2.9 permiten eludir la limitación de velocidad a través de un encabezado de solicitud HTTP manipulado específicamente.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/05/2025

Suscribirse a Vulnerabilidades