Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en kernel de Linux (CVE-2024-41032)

Fecha de publicación:

29/07/2024

Idioma:

Español

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: mm: vmalloc: comprueba si hay un índice hash en cpu_possible_mask El problema es que hay sistemas donde cpu_possible_mask tiene espacios entre las CPU configuradas, por ejemplo SPARC. En este escenario, la función hash addr_to_vb_xa() puede devolver un índice que accede a un área de CPU no posible y no configurada usando la macro per_cpu(). Esto da como resultado un ¡Uy en SPARC! También se utiliza una vmap_block_queue por CPU como tabla hash, asumiendo incorrectamente que cpu_possible_mask no tiene espacios. Solucionarlo ajustando un índice a la siguiente CPU posible.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/10/2025

Vulnerabilidad en kernel de Linux (CVE-2024-41027)

Fecha de publicación:

29/07/2024

Idioma:

Español

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: Corrija userfaultfd_api para devolver EINVAL como se esperaba. Actualmente, si solicitamos una función que no está configurada en la configuración del kernel, fallamos silenciosamente y devolvemos todas las funciones disponibles. Sin embargo, la página de manual indica que debemos devolver un EINVAL. Necesitamos solucionar este problema ya que podemos terminar con una advertencia del Kernel si un programa solicita la característica UFFD_FEATURE_WP_UNPOPULATED en un kernel con la configuración no configurada con esta característica. [ 200.812896] ADVERTENCIA: CPU: 91 PID: 13634 en mm/memory.c:1660 zap_pte_range+0x43d/0x660 [ 200.820738] Módulos vinculados en: [ 200.869387] CPU: 91 PID: 13634 Comm: userfaultfd Kdump: cargado No contiene ted 6.9. 0-rc5+ #8 [ 200.877477] Nombre del hardware: Dell Inc. PowerEdge R6525/0N7YGH, BIOS 2.7.3 30/03/2022 [ 200.885052] RIP: 0010:zap_pte_range+0x43d/0x660

Gravedad CVSS v3.1: BAJA

Última modificación:

03/11/2025

Vulnerabilidad en kernel de Linux (CVE-2024-41028)

Fecha de publicación:

29/07/2024

Idioma:

Español

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: plataforma/x86: toshiba_acpi: corrige el acceso fuera de los límites de la matriz. Para utilizar toshiba_dmi_quirks[] junto con las funciones estándar de coincidencia DMI, debe terminar con una entrada vacía. Dado que falta esta entrada, se produce un acceso fuera de los límites a la matriz cada vez que se procesa la lista de peculiaridades. Solucione este problema agregando la entrada vacía final.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

Vulnerabilidad en kernel de Linux (CVE-2024-41030)

Fecha de publicación:

29/07/2024

Idioma:

Español

En el kernel de Linux se ha resuelto la siguiente vulnerabilidad: ksmbd: descarta el acceso de escritura al directorio abierto may_open() no permite abrir un directorio con acceso de escritura. Sin embargo, algunos indicadores de escritura establecidos por el cliente dan como resultado la adición de acceso de escritura en el servidor, lo que hace que ksmbd sea incompatible con el sistema de archivos FUSE. Simplemente, descartemos el acceso de escritura al abrir un directorio. list_add corrupción. lo siguiente es NULO. ------------[ cortar aquí ]------------ ¡ERROR del kernel en lib/list_debug.c:26! pc: __list_add_valid+0x88/0xbc lr: __list_add_valid+0x88/0xbc Rastreo de llamadas: __list_add_valid+0x88/0xbc fuse_finish_open+0x11c/0x170 fuse_open_common+0x284/0x5e8 fuse_dir_open+0x14/0x24 a4/0x4e0 dentry_open+0x50/0x80 smb2_open+0xbe4 /0x15a4 handle_ksmbd_work+0x478/0x5ec process_one_work+0x1b4/0x448 worker_thread+0x25c/0x430 kthread+0x104/0x1d4 ret_from_fork+0x10/0x20

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/11/2025

Vulnerabilidad en kernel de Linux (CVE-2024-41034)

Fecha de publicación:

29/07/2024

Idioma:

Español

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: nilfs2: corrige el error del kernel en la operación de cambio de nombre de un directorio roto Syzbot informó que en la operación de cambio de nombre de directorio en un directorio roto en nilfs2, __block_write_begin_int() llamado para preparar la escritura en bloque puede fallar en la verificación BUG_ON de acceso exceder el tamaño del folio/página. Esto se debe a que nilfs_dotdot(), que obtiene la entrada de referencia del directorio principal ("..") del directorio que se va a mover o cambiar de nombre, no verifica la coherencia lo suficiente y puede devolver una ubicación que exceda el tamaño de folio/página para directorios rotos. Solucione este problema verificando las entradas de directorio requeridas ("." y "..") en el primer fragmento del directorio en nilfs_dotdot().

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/11/2025

Vulnerabilidad en kernel de Linux (CVE-2024-41033)

Fecha de publicación:

29/07/2024

Idioma:

Español

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: cachestat: no vaciar estadísticas en comprobación de actualidad syzbot detecta que cachestat() está vaciando estadísticas, que pueden dormir, en su sección de lectura de RCU (ver [1]). Esto se hace en el pasoworkingset_test_recent() (que verifica si el desalojo del folio es reciente). Mueva el paso de vaciado de estadísticas antes de la sección de lectura de RCU de cachestat y omita el vaciado de estadísticas durante la verificación reciente. [1]: https://lore.kernel.org/cgroups/000000000000f71227061bdf97e0@google.com/

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/11/2025

Vulnerabilidad en Admidio (CVE-2024-37906)

Fecha de publicación:

29/07/2024

Idioma:

Español

Admidio es un sistema de gestión de usuarios gratuito y de código abierto para sitios web de organizaciones y grupos. En Admidio anterior a la versión 4.3.9, hay una inyección SQL en el archivo fuente `/adm_program/modules/ecards/ecard_send.php` de la aplicación Admidio. La inyección SQL resulta en un compromiso de la base de datos de la aplicación. El valor del parámetro POST `ecard_recipients `se concatena directamente con la consulta SQL en el código fuente que causa la inyección SQL. La inyección SQL puede ser explotada por un usuario miembro, utilizando cargas útiles de inyección SQL ciegas basadas en condiciones, basadas en tiempo y fuera de banda. Esta vulnerabilidad se solucionó en 4.3.9.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

29/07/2024

Vulnerabilidad en Admidio (CVE-2024-38529)

Fecha de publicación:

29/07/2024

Idioma:

Español

Admidio es un sistema de gestión de usuarios gratuito y de código abierto para sitios web de organizaciones y grupos. En Admidio anterior a la versión 4.3.10, hay una vulnerabilidad de ejecución remota de código en el módulo de mensajes de la aplicación Admidio, donde es posible cargar un archivo PHP en el archivo adjunto. Se puede acceder públicamente al archivo subido a través de la URL `{admidio_base_url}/adm_my_files/messages_attachments/{file_name}`. La vulnerabilidad se debe a la falta de verificación de la extensión del archivo, lo que permite cargar archivos maliciosos en el servidor y la disponibilidad pública del archivo cargado. Esta vulnerabilidad se solucionó en 4.3.10.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

29/07/2024

Vulnerabilidad en MOVEit Transfer (CVE-2024-6576)

Fecha de publicación:

29/07/2024

Idioma:

Español

Una vulnerabilidad de autenticación incorrecta en progreso de MOVEit Transfer (módulo SFTP) puede provocar una escalada de privilegios. Este problema afecta a MOVEit Transfer: desde 2023.0.0 antes de 2023.0.12, desde 2023.1.0 antes de 2023.1.7, desde 2024.0.0 antes de 2024.0.3.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/08/2025

Vulnerabilidad en Juju (CVE-2024-6984)

Fecha de publicación:

29/07/2024

Idioma:

Español

Se descubrió un problema en Juju que resultó en la filtración del ID de contexto confidencial, que permite a un atacante local sin privilegios acceder a otros datos o relaciones confidenciales accesibles al acceso local.

Gravedad CVSS v3.1: BAJA

Última modificación:

11/09/2024

Vulnerabilidad en Best House Rental Management System 1.0 (CVE-2024-40576)

Fecha de publicación:

29/07/2024

Idioma:

Español

Vulnerabilidad de Cross Site Scripting en Best House Rental Management System 1.0 permite a un atacante remoto ejecutar código arbitrario a través de los parámetros "House No" y "Description" en la página de casas en el componente index.php.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/05/2025

Vulnerabilidad en kernel de Linux (CVE-2024-41021)

Fecha de publicación:

29/07/2024

Idioma:

Español

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: s390/mm: corrija el manejo de VM_FAULT_HWPOISON en do_exception() No hay soporte para HWPOISON, MEMORY_FAILURE o ARCH_HAS_COPY_MC en s390. Por lo tanto, no esperamos ver VM_FAULT_HWPOISON en do_exception(). Sin embargo, desde la confirmación af19487f00f3 ("mm: hacer que PTE_MARKER_SWAPIN_ERROR sea más general"), es posible ver VM_FAULT_HWPOISON en combinación con PTE_MARKER_POISONED, incluso en arquitecturas que no admiten HWPOISON de otra manera. En este caso, terminaremos en el ERROR() en do_exception(). Solucione este problema tratando VM_FAULT_HWPOISON de la misma manera que VM_FAULT_SIGBUS, similar a x86 cuando MEMORY_FAILURE no está configurado. También imprima indicadores defallos inesperadas para facilitar la depuración. Tenga en cuenta que no se espera VM_FAULT_HWPOISON_LARGE, porque s390 no puede admitir entradas de intercambio en otros niveles que no sean el nivel PTE.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/09/2025

Suscribirse a Vulnerabilidades