Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-38405
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** On Crestron 3-Series Control Systems before 1.8001.0187, crafting and sending a specific BACnet packet can cause a crash.
Gravedad CVSS v3.1: ALTA
Última modificación:
31/10/2024

CVE-2023-38404
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** The XPRTLD web application in Veritas InfoScale Operations Manager (VIOM) before 8.0.0.410 allows an authenticated attacker to upload all types of files to the server. An authenticated attacker can then execute the malicious file to perform command execution on the remote server.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/07/2023

CVE-2023-37265
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** CasaOS is an open-source Personal Cloud system. Due to a lack of IP address verification an unauthenticated attackers can execute arbitrary commands as `root` on CasaOS instances. The problem was addressed by improving the detection of client IP addresses in `391dd7f`. This patch is part of CasaOS 0.4.4. Users should upgrade to CasaOS 0.4.4. If they can't, they should temporarily restrict access to CasaOS to untrusted users, for instance by not exposing it publicly.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/04/2025

CVE-2023-37266
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** CasaOS is an open-source Personal Cloud system. Unauthenticated attackers can craft arbitrary JWTs and access features that usually require authentication and execute arbitrary commands as `root` on CasaOS instances. This problem was addressed by improving the validation of JWTs in commit `705bf1f`. This patch is part of CasaOS 0.4.4. Users should upgrade to CasaOS 0.4.4. If they can't, they should temporarily restrict access to CasaOS to untrusted users, for instance by not exposing it publicly.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/04/2025

CVE-2023-37770
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** faust commit ee39a19 was discovered to contain a stack overflow via the component boxppShared::print() at /boxes/ppbox.cpp.
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/07/2023

CVE-2023-37461
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** Metersphere is an opensource testing framework. Files uploaded to Metersphere may define a `belongType` value with a relative path like `../../../../` which may cause metersphere to attempt to overwrite an existing file in the defined location or to create a new file. Attackers would be limited to overwriting files that the metersphere process has access to. This issue has been addressed in version 2.10.3. Users are advised to upgrade. There are no known workarounds for this vulnerability.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
27/07/2023

CVE-2023-28864
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** Progress Chef Infra Server before 15.7 allows a local attacker to exploit a /var/opt/opscode/local-mode-cache/backup world-readable temporary backup path to access sensitive information, resulting in the disclosure of all indexed node data, because OpenSearch credentials are exposed. (The data typically includes credentials for additional systems.) The attacker must wait for an admin to run the "chef-server-ctl reconfigure" command.
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/07/2023

CVE-2023-37769
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** stress-test master commit e4c878 was discovered to contain a FPE vulnerability via the component combine_inner at /pixman-combine-float.c.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/07/2023

CVE-2023-37781
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** An issue in the emqx_sn plugin of EMQX v4.3.8 allows attackers to execute a directory traversal via uploading a crafted .txt file.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/07/2023

CVE-2022-30858
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in ngiflib 0.4. There is SEGV in SDL_LoadAnimatedGif when use SDLaffgif. poc : ./SDLaffgif CA_file2_0
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/06/2024

CVE-2023-37791
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** D-Link DIR-619L v2.04(TW) was discovered to contain a stack overflow via the curTime parameter at /goform/formLogin.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
27/07/2023

CVE-2023-34141
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** A command injection vulnerability in the access point (AP) management feature of the Zyxel ATP series firmware versions 5.00 through 5.36 Patch 2, USG FLEX series firmware versions 5.00 through 5.36 Patch 2, USG FLEX 50(W) series firmware versions 5.00 through 5.36 Patch 2, USG20(W)-VPN series firmware versions 5.00 through 5.36 Patch 2, VPN series firmware versions 5.00 through 5.36 Patch 2, NXC2500 firmware versions 6.10(AAIG.0) through 6.10(AAIG.3), and NXC5500 firmware versions 6.10(AAOS.0) through 6.10(AAOS.4), could allow an unauthenticated, LAN-based attacker to execute some OS commands on an affected device if the attacker could trick an authorized administrator to add their IP address to the managed AP list in advance.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/07/2023
Suscribirse a Vulnerabilidades