Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ctl_request_sense (CVE-2024-43110)

Fecha de publicación:
05/09/2024
Idioma:
Español
La función ctl_request_sense podría exponer hasta tres bytes del montón del núcleo al espacio de usuario. El software malintencionado que se ejecuta en una máquina virtual invitada que expone virtio_scsi puede explotar las vulnerabilidades para lograr la ejecución de código en el host en el proceso de espacio de usuario bhyve, que normalmente se ejecuta como raíz. Tenga en cuenta que bhyve se ejecuta en un entorno aislado de Capsicum, por lo que el código malintencionado está limitado por las capacidades disponibles para el proceso bhyve. Un iniciador iSCSI malintencionado podría lograr la ejecución remota de código en el host de destino iSCSI.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/11/2025

Vulnerabilidad en ctl_write_buffer (CVE-2024-45063)

Fecha de publicación:
05/09/2024
Idioma:
Español
La función ctl_write_buffer estableció incorrectamente un indicador que resultó en un uso posterior a la liberación del núcleo cuando finalizó el procesamiento de un comando. El software malintencionado que se ejecuta en una máquina virtual invitada que expone virtio_scsi puede explotar las vulnerabilidades para lograr la ejecución de código en el host en el proceso de espacio de usuario bhyve, que normalmente se ejecuta como raíz. Tenga en cuenta que bhyve se ejecuta en un entorno aislado de Capsicum, por lo que el código malintencionado está limitado por las capacidades disponibles para el proceso bhyve. Un iniciador iSCSI malintencionado podría lograr la ejecución remota de código en el host de destino iSCSI.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/11/2025

Vulnerabilidad en ctl_write_buffer y ctl_read_buffer (CVE-2024-8178)

Fecha de publicación:
05/09/2024
Idioma:
Español
Las funciones ctl_write_buffer y ctl_read_buffer asignaron memoria para ser devuelta al espacio de usuario, sin inicializarla. El software malintencionado que se ejecuta en una máquina virtual invitada que expone virtio_scsi puede explotar las vulnerabilidades para lograr la ejecución de código en el host en el proceso de espacio de usuario bhyve, que normalmente se ejecuta como raíz. Tenga en cuenta que bhyve se ejecuta en un entorno aislado de Capsicum, por lo que el código malintencionado está limitado por las capacidades disponibles para el proceso bhyve. Un iniciador iSCSI malintencionado podría lograr la ejecución remota de código en el host de destino iSCSI.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/11/2025

Vulnerabilidad en libnv (CVE-2024-45287)

Fecha de publicación:
05/09/2024
Idioma:
Español
Un valor malicioso de tamaño en una estructura de libnv empaquetada puede provocar un desbordamiento de enteros, lo que lleva a la asignación de un búfer más pequeño que el requerido para los datos analizados.
Gravedad CVSS v3.1: ALTA
Última modificación:
06/09/2024

Vulnerabilidad en nvlist (CVE-2024-45288)

Fecha de publicación:
05/09/2024
Idioma:
Español
Un carácter de terminación nula faltante en el último elemento de una cadena de matriz nvlist puede provocar que se escriba fuera del búfer asignado.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/09/2024

Vulnerabilidad en bhyve (CVE-2024-41928)

Fecha de publicación:
05/09/2024
Idioma:
Español
El software malintencionado que se ejecuta en una máquina virtual invitada puede aprovechar el desbordamiento del búfer para lograr la ejecución de código en el host en el proceso de espacio de usuario bhyve, que normalmente se ejecuta como raíz. Tenga en cuenta que bhyve se ejecuta en un entorno aislado de Capsicum, por lo que el código malintencionado está limitado por las capacidades disponibles para el proceso bhyve.
Gravedad CVSS v3.1: ALTA
Última modificación:
06/09/2024

Vulnerabilidad en Bit File Manager para WordPress (CVE-2024-7627)

Fecha de publicación:
05/09/2024
Idioma:
Español
El complemento Bit File Manager para WordPress es vulnerable a la ejecución remota de código en las versiones 6.0 a 6.5.5 a través de la función 'checkSyntax'. Esto se debe a que se escribe un archivo temporal en un directorio de acceso público antes de realizar la validación del archivo. Esto hace posible que atacantes no autenticados ejecuten código en el servidor si un administrador ha otorgado permisos de lectura a usuarios invitados.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/09/2024

Vulnerabilidad en Advanced Custom Fields y Advanced Custom Fields Pro (CVE-2024-45429)

Fecha de publicación:
04/09/2024
Idioma:
Español
Existe una vulnerabilidad de cross site scripting en las versiones 6.3.5 y anteriores de Advanced Custom Fields y en las versiones 6.3.5 y anteriores de Advanced Custom Fields Pro. Si un atacante con el privilegio de configuración "capacidad" que se establece en la configuración del producto almacena un script arbitrario en la etiqueta del campo, el script puede ejecutarse en el navegador web del usuario que haya iniciado sesión con el mismo privilegio que el atacante.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/03/2025

Vulnerabilidad en Webmin y Virtualmin (CVE-2024-45692)

Fecha de publicación:
04/09/2024
Idioma:
Español
Webmin anterior a 2.202 y Virtualmin anterior a 7.20.2 permiten un bucle de tráfico de red a través de paquetes UDP falsificados en el puerto 10000.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/09/2024

Vulnerabilidad en Forcepoint Email Security (CVE-2024-2166)

Fecha de publicación:
04/09/2024
Idioma:
Español
La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Forcepoint Email Security (módulos Real Time Monitor) permite XSS reflejado. Este problema afecta a Email Security: anterior a 8.5.5 HF003.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/09/2024

Vulnerabilidad en ClamD de Clam AntiVirus (CVE-2024-20506)

Fecha de publicación:
04/09/2024
Idioma:
Español
Una vulnerabilidad en el módulo de servicio ClamD de Clam AntiVirus (ClamAV) versiones 1.4.0, 1.3.2 y anteriores, todas las versiones 1.2.x, 1.0.6 y anteriores, todas las versiones 0.105.x, todas las versiones 0.104.x y 0.103.11 y anteriores podría permitir que un atacante local autenticado corrompa archivos críticos del sistema. La vulnerabilidad se debe a que permite que el proceso ClamD escriba en su archivo de registro mientras tiene privilegios sin comprobar si el archivo de registro ha sido reemplazado por un enlace simbólico. Un atacante podría aprovechar esta vulnerabilidad si reemplaza el archivo de registro de ClamD por un enlace simbólico a un archivo crítico del sistema y luego encuentra una forma de reiniciar el proceso ClamD. Una vulnerabilidad podría permitir que el atacante corrompa un archivo crítico del sistema añadiendo mensajes de registro de ClamD después del reinicio.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2025

Vulnerabilidad en PDF de Clam AntiVirus (CVE-2024-20505)

Fecha de publicación:
04/09/2024
Idioma:
Español
Una vulnerabilidad en el módulo de análisis de PDF de Clam AntiVirus (ClamAV) versiones 1.4.0, 1.3.2 y anteriores, todas las versiones 1.2.x, 1.0.6 y anteriores, todas las versiones 0.105.x, todas las versiones 0.104.x y 0.103.11 y anteriores podría permitir que un atacante remoto no autenticado provoque una condición de denegación de servicio (DoS) en un dispositivo afectado. La vulnerabilidad se debe a una lectura fuera de los límites. Un atacante podría aprovechar esta vulnerabilidad enviando un archivo PDF manipulado para que ClamAV lo escanee en un dispositivo afectado. Una explotación podría permitir al atacante terminar el proceso de escaneo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2025