Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en eprosima Fast DDS (CVE-2024-28231)

Fecha de publicación:

20/03/2024

Idioma:

Español

eprosima Fast DDS es una implementación en C++ del estándar del Servicio de Distribución de Datos del Object Management Group. Antes de las versiones 2.14.0, 2.13.4, 2.12.3, 2.10.4 y 2.6.8, el submensaje de DATOS manipulado puede provocar un error de desbordamiento de búfer de almacenamiento dinámico en el proceso Fast-DDS, lo que provoca que el proceso finalice de forma remota. Además, el tamaño de el payload en el paquete del submensaje de DATOS se declara como uint32_t. Cuando se ingresa un número negativo, como -1, en esta variable, se produce un desbordamiento de enteros (por ejemplo, -1 se convierte en 0xFFFFFFFF). Esto eventualmente conduce a un desbordamiento de búfer de almacenamiento dinámico, lo que provoca que el programa finalice. Las versiones 2.14.0, 2.13.4, 2.12.3, 2.10.4 y 2.6.8 contienen una solución para este problema.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

30/06/2025

Vulnerabilidad en Draytek Vigor3910 4.3.2.5 (CVE-2024-23721)

Fecha de publicación:

20/03/2024

Idioma:

Español

Se descubrió un problema de Directory Traversal en process_post en dispositivos Draytek Vigor3910 4.3.2.5. Al enviar una determinada solicitud POST, llama a la función y exporta información.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/05/2025

Vulnerabilidad en Tenda AC10U 15.03.06.48 (CVE-2024-2711)

Fecha de publicación:

20/03/2024

Idioma:

Español

Se encontró una vulnerabilidad en Tenda AC10U 15.03.06.48. Ha sido calificada como crítica. La función addWifiMacFilter del archivo /goform/addWifiMacFilter es afectada por esta vulnerabilidad. La manipulación del argumento dispositivoMac conduce a un desbordamiento de búfer en la región stack de la memoria. El ataque puede lanzarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-257462 es el identificador asignado a esta vulnerabilidad. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/12/2024

Vulnerabilidad en Tenda AC10U 15.03.06.49 (CVE-2024-2709)

Fecha de publicación:

20/03/2024

Idioma:

Español

Se encontró una vulnerabilidad en Tenda AC10U 15.03.06.49. Ha sido clasificada como crítica. La función fromSetRouteStatic del fichero /goform/SetStaticRouteCfg es afectada por la vulnerabilidad. La manipulación de la lista de argumentos provoca un desbordamiento de búfer en la región stack de la memoria. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-257460. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/12/2024

Vulnerabilidad en Tenda AC10U 15.03.06.49 (CVE-2024-2710)

Fecha de publicación:

20/03/2024

Idioma:

Español

Se encontró una vulnerabilidad en Tenda AC10U 15.03.06.49. Ha sido declarada crítica. La función setSchedWifi del archivo /goform/openSchedWifi es afectada por esta vulnerabilidad. La manipulación del argumento schedStartTime provoca un desbordamiento de búfer en la región stack de la memoria. El ataque se puede lanzar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-257461. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/12/2024

Vulnerabilidad en Tenda AC10U 15.03.06.49 (CVE-2024-2708)

Fecha de publicación:

20/03/2024

Idioma:

Español

Una vulnerabilidad fue encontrada en Tenda AC10U 15.03.06.49 y clasificada como crítica. Este problema afecta a la función formexeCommand del archivo /goform/execCommand. La manipulación del argumento cmdinput provoca un desbordamiento de búfer en la región stack de la memoria. El ataque puede iniciarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-257459. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/12/2024

Vulnerabilidad en GeoServer (CVE-2024-23821)

Fecha de publicación:

20/03/2024

Idioma:

Español

GeoServer es un servidor de software de código abierto escrito en Java que permite a los usuarios compartir y editar datos geoespaciales. Existe una vulnerabilidad de cross-site scripting (XSS) almacenado en versiones anteriores a la 2.23.4 y 2.24.1 que permite a un administrador autenticado con privilegios a nivel de espacio de trabajo almacenar un payload de JavaScript en el catálogo de GeoServer que se ejecutará en el contexto de la cuenta de otro usuario. navegador cuando se ve en la página de demostraciones de GWC. El acceso a la página de demostraciones de GWC está disponible para todos los usuarios, aunque la seguridad de los datos puede limitar la capacidad de los usuarios para activar el XSS. Las versiones 2.23.4 y 2.24.1 contienen un parche para este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/12/2024

Vulnerabilidad en GeoServer (CVE-2024-23819)

Fecha de publicación:

20/03/2024

Idioma:

Español

GeoServer es un servidor de software de código abierto escrito en Java que permite a los usuarios compartir y editar datos geoespaciales. Existe una vulnerabilidad de cross-site scripting (XSS) almacenado en versiones anteriores a la 2.23.4 y 2.24.1 que permite a un administrador autenticado con privilegios a nivel de espacio de trabajo almacenar un payload de JavaScript en el catálogo de GeoServer que se ejecutará en el contexto de la cuenta de otro usuario. navegador cuando se ve en la página HTML de MapML. La extensión MapML debe estar instalada y el acceso a la página HTML de MapML está disponible para todos los usuarios, aunque la seguridad de los datos puede limitar la capacidad de los usuarios para activar el XSS. Las versiones 2.23.4 y 2.24.1 contienen un parche para este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/12/2024

Vulnerabilidad en GeoServer (CVE-2024-23818)

Fecha de publicación:

20/03/2024

Idioma:

Español

GeoServer es un servidor de software de código abierto escrito en Java que permite a los usuarios compartir y editar datos geoespaciales. Existe una vulnerabilidad de cross-site scripting (XSS) almacenado en versiones anteriores a la 2.23.3 y 2.24.1 que permite a un administrador autenticado con privilegios a nivel de espacio de trabajo almacenar un payload de JavaScript en el catálogo de GeoServer que se ejecutará en el contexto de la cuenta de otro usuario. navegador cuando se ve en el formato de salida WMS GetMap OpenLayers. El acceso al formato WMS OpenLayers está disponible para todos los usuarios de forma predeterminada, aunque la seguridad de los datos y del servicio puede limitar la capacidad de los usuarios para activar el XSS. Las versiones 2.23.3 y 2.24.1 contienen un parche para este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/12/2024

Vulnerabilidad en GeoServer (CVE-2024-23643)

Fecha de publicación:

20/03/2024

Idioma:

Español

GeoServer es un servidor de software de código abierto escrito en Java que permite a los usuarios compartir y editar datos geoespaciales. Existe una vulnerabilidad de cross-site scripting (XSS) almacenado en versiones anteriores a la 2.23.2 y 2.24.1 que permite a un administrador autenticado con privilegios a nivel de espacio de trabajo almacenar un payload de JavaScript en el catálogo de GeoServer que se ejecutará en el contexto de la cuenta de otro administrador. navegador cuando se ve en el formulario semilla de GWC. El acceso al formulario inicial de GWC está limitado a administradores completos de forma predeterminada y no se recomienda otorgar acceso a este punto final a personas que no sean administradores. Las versiones 2.23.2 y 2.24.1 contienen una solución para este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/12/2024

Vulnerabilidad en GeoServer (CVE-2024-23642)

Fecha de publicación:

20/03/2024

Idioma:

Español

GeoServer es un servidor de software de código abierto escrito en Java que permite a los usuarios compartir y editar datos geoespaciales. Existe una vulnerabilidad de cross-site scripting (XSS) almacenado en versiones anteriores a la 2.23.4 y 2.24.1 que permite a un administrador autenticado con privilegios a nivel de espacio de trabajo almacenar un payload de JavaScript en el catálogo de GeoServer que se ejecutará en el contexto de la cuenta de otro usuario. navegador cuando se ve en el formato de salida WMS GetMap SVG cuando el renderizador SVG simple está habilitado. El acceso al formato WMS SVG está disponible para todos los usuarios de forma predeterminada, aunque la seguridad de los datos y del servicio puede limitar la capacidad de los usuarios para activar el XSS. Las versiones 2.23.4 y 2.24.1 contienen una solución para este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/12/2024

Vulnerabilidad en IBM MQ (CVE-2023-45177)

Fecha de publicación:

20/03/2024

Idioma:

Español

IBM MQ 9.0 LTS, 9.1 LTS, 9.2 LTS, 9.3 LTS y 9.3 CD es vulnerable a un ataque de denegación de servicio debido a un error dentro de la lógica de agrupación en clústeres de MQ. ID de IBM X-Force: 268066.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/07/2025

Suscribirse a Vulnerabilidades