Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en APTRS (CVE-2024-56363)

Fecha de publicación:

23/12/2024

Idioma:

Español

APTRS (Sistema automatizado de informes de pruebas de penetración) es una herramienta de informes automatizada basada en Python y Django manipulada para evaluadores de penetración y organizaciones de seguridad. En 1.0, hay una vulnerabilidad en la gestión por parte de la aplicación web de la entrada proporcionada por el usuario que se incorpora a una plantilla Jinja2. Específicamente, cuando la entrada del usuario se desinfecta o valida incorrectamente, un atacante puede inyectar la sintaxis de Jinja2 en la plantilla, lo que hace que el servidor ejecute código arbitrario. Por ejemplo, un atacante podría inyectar expresiones como {{ config }}, {{ self.class.mro[1].subclasses() }} o payloads más peligrosos que desencadenan la ejecución de código Python arbitrario. La vulnerabilidad se puede reproducir enviando entradas manipuladas a todos los campos de plantilla manejados por ckeditor, que se pasan directamente a una plantilla Jinja2. Si la entrada se procesa sin una desinfección suficiente, se produce la ejecución de código Jinja2 malicioso en el servidor.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/12/2024

Vulnerabilidad en libxml2 (CVE-2024-40896)

Fecha de publicación:

23/12/2024

Idioma:

Español

En libxml2 2.11 anterior a 2.11.9, 2.12 anterior a 2.12.9 y 2.13 anterior a 2.13.3, el analizador SAX puede producir eventos para entidades externas incluso si los controladores SAX personalizados intentan anular el contenido de la entidad (estableciendo "marcado"). Esto hace posibles los ataques XXE clásicos.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

25/11/2025

Vulnerabilidad en Gogs (CVE-2024-54148)

Fecha de publicación:

23/12/2024

Idioma:

Español

Gogs es un servicio Git autohospedado de código abierto. Un usuario malintencionado puede enviar y editar un archivo de enlace simbólico manipulado en un repositorio para obtener acceso SSH al servidor. La vulnerabilidad se solucionó en 0.13.1.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/04/2025

Vulnerabilidad en Gogs (CVE-2024-55947)

Fecha de publicación:

23/12/2024

Idioma:

Español

Gogs es un servicio Git autohospedado de código abierto. Un usuario malintencionado puede escribir un archivo en una ruta arbitraria del servidor para obtener acceso SSH al servidor. La vulnerabilidad se solucionó en 0.13.1.

Gravedad CVSS v4.0: ALTA

Última modificación:

10/04/2025

Vulnerabilidad en Jinja (CVE-2024-56201)

Fecha de publicación:

23/12/2024

Idioma:

Español

Jinja es un motor de plantillas extensible. Antes de 3.1.5, un error en el compilador de Jinja permitía a un atacante que controlaba tanto el contenido como el nombre de archivo de una plantilla ejecutar código Python arbitrario, independientemente de si se utilizaba el entorno limitado de Jinja. Para aprovechar la vulnerabilidad, un atacante necesita controlar tanto el nombre del archivo como el contenido de una plantilla. Que ese sea el caso depende del tipo de aplicación que utilice Jinja. Esta vulnerabilidad afecta a los usuarios de aplicaciones que ejecutan plantillas que no son de confianza donde el autor de la plantilla también puede elegir el nombre del archivo de la plantilla. Esta vulnerabilidad se solucionó en 3.1.5.

Gravedad CVSS v4.0: MEDIA

Última modificación:

22/09/2025

Vulnerabilidad en SimpleXLSX (CVE-2024-56364)

Fecha de publicación:

23/12/2024

Idioma:

Español

SimpleXLSX es un software para analizar y recuperar datos de archivos Excel XLSx. A partir de 1.0.12 y finalizando en 1.1.13, al llamar al método toHTMLEx extendido, es posible ejecutar código JavaScript arbitrario. Esta vulnerabilidad se solucionó en 1.1.13.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/12/2024

Vulnerabilidad en Jinja (CVE-2024-56326)

Fecha de publicación:

23/12/2024

Idioma:

Español

Jinja es un motor de plantillas extensible. Antes de la versión 3.1.5, una supervisión de cómo el entorno aislado de Jinja detecta llamadas a str.format permitía a un atacante que controlaba el contenido de una plantilla ejecutar código Python arbitrario. Para aprovechar la vulnerabilidad, un atacante necesita controlar el contenido de una plantilla. Que ese sea el caso depende del tipo de aplicación que utilice Jinja. Esta vulnerabilidad afecta a los usuarios de aplicaciones que ejecutan plantillas que no son de confianza. El sandbox de Jinja capta llamadas a str.format y garantiza que no escapen de la sandbox. Sin embargo, es posible almacenar una referencia al método de formato de una cadena maliciosa y luego pasarla a un filtro que lo llame. Estos filtros no están integrados en Jinja, pero podrían estar presentes a través de filtros personalizados en una aplicación. Después de la solución, estas llamadas indirectas también son gestionadas por la sandbox. Esta vulnerabilidad se solucionó en 3.1.5.

Gravedad CVSS v4.0: MEDIA

Última modificación:

03/11/2025

Vulnerabilidad en Traffic Ops en Apache Traffic Control (CVE-2024-45387)

Fecha de publicación:

23/12/2024

Idioma:

Español

Una vulnerabilidad de inyección SQL en Traffic Ops en Apache Traffic Control &lt;= 8.0.1, &gt;= 8.0.0 permite que un usuario privilegiado con el rol "admin", "federación", "operaciones", "portal" o "dirección" ejecute SQL arbitrario contra la base de datos enviando una solicitud PUT especialmente manipulada. Se recomienda a los usuarios actualizar a la versión Apache Traffic Control 8.0.2 si ejecutan una versión afectada de Traffic Ops.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/02/2025

Vulnerabilidad en Rizin (CVE-2024-53256)

Fecha de publicación:

23/12/2024

Idioma:

Español

Rizin es un framework de ingeniería inversa similar a UNIX y un conjunto de herramientas de línea de comandos. `rizin.c` todavía tenía un fragmento de código antiguo que sufrió una inyección de comando debido al uso de `rz_core_cmdf` para invocar el comando `m` que se eliminó en v0.1.x. Se ejecuta un binario malicioso que define `bclass` (parte de RzBinInfo) si `rclass` (parte de RzBinInfo) está configurado en `fs`; la vulnerabilidad puede ser explotada por cualquier formato bin donde `bclass` y `rclass` estén definidos por el usuario. Esta vulnerabilidad se solucionó en 0.7.4.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/12/2024

Vulnerabilidad en Signing cookies (CVE-2024-23945)

Fecha de publicación:

23/12/2024

Idioma:

Español

Signing cookies es una característica de seguridad de la aplicación que agrega una firma digital a los datos de las cookies para verificar su autenticidad e integridad. La firma ayuda a evitar que actores malintencionados modifiquen el valor de la cookie, lo que puede provocar vulnerabilidades de seguridad y explotación. El componente de servicio de Apache Hive expone accidentalmente la cookie firmada al usuario final cuando hay una discrepancia en la firma entre la cookie actual y la esperada. Exponer la firma de cookie correcta puede conducir a una mayor explotación. La lógica vulnerable de CookieSigner se introdujo en Apache Hive mediante HIVE-9710 (1.2.0) y en Apache Spark mediante SPARK-14987 (2.0.0). Los componentes afectados son los siguientes: * org.apache.hive:hive-service * org.apache.spark:spark-hive-thriftserver_2.11 * org.apache.spark:spark-hive-thriftserver_2.12

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/07/2025

Vulnerabilidad en Acronis Cyber Protect Cloud Agent (CVE-2024-55539)

Fecha de publicación:

23/12/2024

Idioma:

Español

Algoritmo débil utilizado para firmar el paquete RPM. Los siguientes productos se ven afectados: Acronis Cyber Protect Cloud Agent (Linux) antes de la compilación 39185.

Gravedad CVSS v3.1: BAJA

Última modificación:

04/06/2025

Vulnerabilidad en Evoko Home (CVE-2024-12903)

Fecha de publicación:

23/12/2024

Idioma:

Español

Vulnerabilidad de permisos predeterminados incorrectos en Evoko Home, que afecta a la versión 2.4.2 a 2.7.4. Un usuario que no sea administrador podría aprovechar los permisos débiles de archivos y carpetas para escalar privilegios, ejecutar código arbitrario y mantener la persistencia en la máquina comprometida. Se ha identificado que existen permisos de control total en el grupo "Todos" (es decir, cualquier usuario que tenga acceso local al sistema operativo independientemente de sus privilegios).

Gravedad CVSS v3.1: ALTA

Última modificación:

23/12/2024

Suscribirse a Vulnerabilidades