Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Tenda AC6 v2.0 V15.03.06.50 (CVE-2024-51116)

Fecha de publicación:

05/11/2024

Idioma:

Español

Se descubrió que Tenda AC6 v2.0 V15.03.06.50 contiene un desbordamiento de búfer en la función &#39;formSetPPTPServer&#39;.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/04/2025

Vulnerabilidad en Wasmtime (CVE-2024-51745)

Fecha de publicación:

05/11/2024

Idioma:

Español

Wasmtime es un entorno de ejecución rápido y seguro para WebAssembly. La implementación de la zona protegida del sistema de archivos de Wasmtime en Windows bloquea el acceso a nombres de archivos de dispositivos especiales como "COM1", "COM2", "LPT0", "LPT1", etc., pero no bloquea el acceso a los nombres de archivos de dispositivos especiales que utilizan dígitos en superíndice, como "COM¹", "COM²", "LPT?", "LPT¹", etc. Los programas Wasm no confiables a los que se les da acceso a cualquier directorio del sistema de archivos podrían omitir la zona protegida y acceder a los dispositivos a través de esos nombres de archivos de dispositivos especiales con dígitos en superíndice, y a través de ellos obtener acceso a dispositivos periféricos conectados a la computadora o recursos de red asignados a esos dispositivos. Esto puede incluir módems, impresoras, impresoras de red y cualquier otro dispositivo conectado a un puerto serial o paralelo, incluidos los puertos seriales USB emulados. Se han publicado parches para Wasmtime como 24.0.2, 25.0.3 y 26.0.1. Se recomienda a los usuarios de Wasmtime 23.0.x y versiones anteriores que actualicen a una de estas versiones parcheadas. No existen workarounds conocidos para este problema. Se recomienda a los usuarios de Windows afectados que actualicen.

Gravedad CVSS v4.0: BAJA

Última modificación:

04/09/2025

Vulnerabilidad en cap-std (CVE-2024-51756)

Fecha de publicación:

05/11/2024

Idioma:

Español

El proyecto cap-std está organizado en torno al cajón homónimo `cap-std`, y desarrolla librerías para facilitar la escritura de código basado en capacidades. La implementación del sandbox del sistema de archivos de cap-std en Windows bloquea el acceso a nombres de archivos de dispositivos especiales como "COM1", "COM2", "LPT0", "LPT1", etc., sin embargo, no bloquea el acceso a los nombres de archivos de dispositivos especiales que utilizan dígitos en superíndice, como "COM¹", "COM²", "LPT?", "LPT¹", etc. Las rutas del sistema de archivos no confiables podrían eludir el sandbox y acceder a los dispositivos a través de esos nombres de archivos de dispositivos especiales con dígitos en superíndice, y a través de ellos proporcionar acceso a dispositivos periféricos conectados a la computadora o recursos de red asignados a esos dispositivos. Esto puede incluir módems, impresoras, impresoras de red y cualquier otro dispositivo conectado a un puerto serial o paralelo, incluidos los puertos seriales USB emulados. El error se corrigió en el n.° 371, que se publicó en cap-primitives 3.4.1, cap-std 3.4.1 y cap-async-std 3.4.1. No se conocen workarounds para este problema. Se recomienda a los usuarios de Windows afectados que actualicen.

Gravedad CVSS v4.0: BAJA

Última modificación:

06/11/2024

Vulnerabilidad en Contact Form 7 – Dynamic Text Extension para WordPress (CVE-2024-10084)

Fecha de publicación:

05/11/2024

Idioma:

Español

El complemento Contact Form 7 – Dynamic Text Extension para WordPress es vulnerable a la divulgación de información básica en todas las versiones hasta la 4.5 incluida a través del código corto CF7_get_post_var. Esto permite que atacantes autenticados, con acceso de nivel de colaborador o superior, extraigan los títulos y el contenido de texto de publicaciones privadas y protegidas con contraseña que no son de su propiedad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/07/2025

Vulnerabilidad en AuthKit para Remix (CVE-2024-51753)

Fecha de publicación:

05/11/2024

Idioma:

Español

La librería AuthKit para Remix ofrece asistentes prácticos para la autenticación y la gestión de sesiones mediante WorkOS y AuthKit con Remix. En las versiones afectadas, los tokens de actualización se registran en la consola cuando se habilita la bandera `debug` (deshabilitada de forma predeterminada). Este problema se ha corregido en la versión 0.4.1. Se recomienda a todos los usuarios que actualicen. No existen workarounds conocidos para esta vulnerabilidad.

Gravedad CVSS v4.0: BAJA

Última modificación:

06/11/2024

Vulnerabilidad en VRED Design (CVE-2024-7995)

Fecha de publicación:

05/11/2024

Idioma:

Español

Al descargar un archivo binario creado con fines malintencionados, se podría producir una escalada de privilegios a NT AUTHORITY/SYSTEM debido a que se utiliza una ruta de búsqueda no confiable en la aplicación VRED Design. La explotación de esta vulnerabilidad puede provocar la ejecución de código.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/08/2025

Vulnerabilidad en AuthKit para Next.js (CVE-2024-51752)

Fecha de publicación:

05/11/2024

Idioma:

Español

La librería AuthKit para Next.js ofrece ayudas prácticas para la autenticación y la gestión de sesiones mediante WorkOS y AuthKit con Next.js. En las versiones afectadas, los tokens de actualización se registran en la consola cuando se habilita la bandera `debug` (deshabilitada de forma predeterminada). Este problema se ha corregido en la versión 0.13.2 y se recomienda a todos los usuarios que actualicen. No existen workarounds conocidos para esta vulnerabilidad.

Gravedad CVSS v4.0: BAJA

Última modificación:

11/12/2025

Vulnerabilidad en Combodo iTop (CVE-2024-51740)

Fecha de publicación:

05/11/2024

Idioma:

Español

Combodo iTop es una herramienta de gestión de servicios de TI sencilla y basada en la web. Esta vulnerabilidad se puede utilizar para crear solicitudes HTTP en nombre del servidor desde un usuario con pocos privilegios. El administrador de formularios del portal de usuarios se ha corregido para que solo cree instancias de clases derivadas de él. Este problema se ha solucionado en las versiones 2.7.11, 3.0.5, 3.1.2 y 3.2.0. Se recomienda a los usuarios que actualicen la versión. No se conocen workarounds para esta vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

08/11/2024

Vulnerabilidad en Gitsign (CVE-2024-51746)

Fecha de publicación:

05/11/2024

Idioma:

Español

Gitsign es una herramienta de firma de Sigstore sin clave para las confirmaciones de Git con su identidad de GitHub/OIDC. gitsign puede seleccionar la entrada de Rekor incorrecta para usar durante la verificación en línea cuando el registro devuelve varias entradas. gitsign usa la API de búsqueda de Rekor para obtener las entradas que se aplican a una firma que se está verificando. Los parámetros utilizados para la búsqueda son la clave pública y el payload. La API de búsqueda devuelve las entradas que coinciden con una de las condiciones en lugar de ambas. Cuando se usa el caché de credenciales de gitsign, puede haber varias entradas que usen el mismo certificado de firma/par de claves efímeras. Como gitsign asume que Rekor cumple con ambas condiciones, no hay una validación adicional de que el hash de la entrada coincida con el payload que se está verificando, lo que significa que se puede usar la entrada incorrecta para pasar la verificación con éxito. El impacto es mínimo ya que, si bien gitsign no compara el payload con la entrada, sí garantiza que el certificado coincida. Esto debería ser explotado durante la ventana de validez del certificado (10 minutos) por el titular de la clave.

Gravedad CVSS v4.0: BAJA

Última modificación:

06/11/2024

Vulnerabilidad en SuiteCRM (CVE-2024-50335)

Fecha de publicación:

05/11/2024

Idioma:

Español

SuiteCRM es una aplicación de software de gestión de relaciones con los clientes (CRM) de código abierto y preparada para empresas. El campo "Clave de publicación" de la página Editar perfil de SuiteCRM es vulnerable a Cross-Site Scripting reflejado (XSS), lo que permite a un atacante inyectar código JavaScript malicioso. Esto se puede aprovechar para robar tokens CSRF y realizar acciones no autorizadas, como crear nuevos usuarios administrativos sin la autenticación adecuada. La vulnerabilidad surge debido a una validación de entrada y una limpieza insuficientes del campo Clave de publicación dentro de la aplicación SuiteCRM. Cuando un atacante inyecta un script malicioso, se ejecuta dentro del contexto de la sesión de un usuario autenticado. El script inyectado (o.js) aprovecha el token CSRF capturado para falsificar solicitudes que crean nuevos usuarios administrativos, lo que compromete de manera efectiva la integridad y la seguridad de la instancia de CRM. Este problema se ha solucionado en las versiones 7.14.6 y 8.7.1. Se recomienda a los usuarios que actualicen. No existen workarounds conocidas para esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/11/2024

Vulnerabilidad en OpenWRT Luci LTS (CVE-2024-51240)

Fecha de publicación:

05/11/2024

Idioma:

Español

Un problema en el paquete luci-mod-rpc en OpenWRT Luci LTS permite la escalada de privilegios desde una cuenta de administrador a root a través de JSON-RPC-API, que está expuesta por el paquete luci-mod-rpc

Gravedad CVSS v3.1: ALTA

Última modificación:

06/11/2024

Vulnerabilidad en JATOS v3.9.3 (CVE-2024-51379)

Fecha de publicación:

05/11/2024

Idioma:

Español

Vulnerabilidad de Cross Site Scripting (XSS) almacenado descubierta en JATOS v3.9.3. La vulnerabilidad existe en el componente de descripción de la sección de estudio, donde un atacante puede inyectar JavaScript en el campo de descripción. Esto permite la ejecución de scripts maliciosos cuando un administrador ve la descripción, lo que puede provocar la apropiación de cuentas y acciones no autorizadas.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/06/2025

Suscribirse a Vulnerabilidades