Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ThemeFuse Unyson (CVE-2024-34814)

Fecha de publicación:

14/05/2024

Idioma:

Español

Vulnerabilidad de Cross-Site Request Forgery (CSRF) en ThemeFuse Unyson. Este problema afecta a Unyson: desde n/a hasta 2.7.29.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/03/2025

Vulnerabilidad en Phomer (CVE-2024-34749)

Fecha de publicación:

14/05/2024

Idioma:

Español

Phomer anterior a la versión 3.35 contiene una vulnerabilidad de Cross Site Scripting. Si se explota esta vulnerabilidad, un atacante remoto no autenticado puede ejecutar un script arbitrario en el navegador web del usuario.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/03/2025

Vulnerabilidad en VeronaLabs WP SMS (CVE-2024-34811)

Fecha de publicación:

14/05/2024

Idioma:

Español

La vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web (&#39;Cross-site Scripting&#39;) en VeronaLabs WP SMS permite almacenar XSS. Este problema afecta a WP SMS: desde n/a hasta 6.5.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/03/2025

Vulnerabilidad en RadiusTheme ShopBuilder – Elementor WooCommerce Builder Addons (CVE-2024-34812)

Fecha de publicación:

14/05/2024

Idioma:

Español

Exposición de información confidencial a una vulnerabilidad de actor no autorizado en RadiusTheme ShopBuilder – Elementor WooCommerce Builder Addons. Este problema afecta a ShopBuilder – Complementos de Elementor WooCommerce Builder: desde n/a hasta 2.1.8.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2024

Vulnerabilidad en Directus (CVE-2024-34708)

Fecha de publicación:

14/05/2024

Idioma:

Español

Directus es una API y un panel de aplicaciones en tiempo real para administrar el contenido de la base de datos SQL. Un usuario con permiso para ver cualquier colección utilizando campos hash redactados puede acceder a la versión almacenada sin formato utilizando la funcionalidad "alias" en la API. Normalmente, estos campos redactados devolverán `**********`; sin embargo, si cambiamos la solicitud a `?alias[workaround]=redacted`, podemos recuperar el valor de texto sin formato para el campo. Esto se puede evitar eliminando el permiso para ver los campos confidenciales por completo a los usuarios o roles que no deberían poder verlos. Esta vulnerabilidad se solucionó en 10.11.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/01/2025

Vulnerabilidad en Directus (CVE-2024-34709)

Fecha de publicación:

14/05/2024

Idioma:

Español

Directus es una API y un panel de aplicaciones en tiempo real para administrar el contenido de la base de datos SQL. Antes de 10.11.0, los tokens de sesión funcionaban como los otros tokens JWT, donde en realidad no se invalidaban al cerrar sesión. La `directus_session` se destruye y la cookie se elimina, pero si se captura el valor de la cookie, seguirá funcionando durante todo el tiempo de caducidad, que está establecido en 1 día de forma predeterminada. Lo que lo convierte efectivamente en un token sin estado, irrevocable y de larga duración, en lugar del token de sesión con estado que debía ser. Esta vulnerabilidad se solucionó en 10.11.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/01/2025

Vulnerabilidad en Nautobot (CVE-2024-34707)

Fecha de publicación:

14/05/2024

Idioma:

Español

Nautobot es una plataforma de automatización de redes y fuente de verdad de red. Un usuario de Nautobot con privilegios de administrador puede modificar los ajustes de configuración `BANNER_TOP`, `BANNER_BOTTOM` y `BANNER_LOGIN` a través del endpoint `/admin/constance/config/`. Normalmente, estas configuraciones se usan para proporcionar texto de banner personalizado en la parte superior e inferior de todas las páginas web de Nautobot (o específicamente en la página de inicio de sesión en el caso de `BANNER_LOGIN`), pero se informó que un usuario administrador puede hacer uso de estas configuraciones para inyectar HTML arbitrario, exponiendo potencialmente a los usuarios de Nautobot a problemas de seguridad como Cross Site Scripting (XSS almacenados). La vulnerabilidad está solucionada en Nautobot 1.6.22 y 2.2.4.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/08/2025

Vulnerabilidad en ZKsync para Solidity (CVE-2024-34704)

Fecha de publicación:

14/05/2024

Idioma:

Español

era-compiler-solidity es el compilador ZKsync para Solidity. El problema ocurrió durante la selección de instrucciones en la fase "DAGCombine" mientras se visitaba la operación XOR. El problema surge al intentar doblar la expresión `!(x cc y)` en `(x !cc y)`. Para realizar esta transformación, el segundo operando de XOR debe ser una constante que represente el valor verdadero. Sin embargo, se asumió incorrectamente que -1 representa el valor verdadero, cuando en realidad 1 es la representación correcta, por lo que se debe omitir esta transformación en este caso. Esta vulnerabilidad se solucionó en 1.4.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2024

Vulnerabilidad en Valtimo (CVE-2024-34706)

Fecha de publicación:

14/05/2024

Idioma:

Español

Valtimo es una plataforma de gestión de casos y procesos empresariales de código abierto. Al abrir un formulario en Valtimo, el token de acceso (JWT) del usuario se expone a `api.form.io` a través del encabezado `x-jwt-token`. Un atacante puede recuperar información personal de este token o utilizarlo para ejecutar solicitudes a la API REST de Valtimo en nombre del usuario que ha iniciado sesión. Este problema se debe a una mala configuración del componente Form.io. Se deben cumplir las siguientes condiciones para realizar este ataque: Un atacante debe tener acceso al tráfico de red en el dominio `api.form.io`; el contenido del encabezado `x-jwt-token` está registrado o disponible de otro modo para el atacante; un atacante necesita tener acceso de red a la API de Valtimo; y un atacante debe actuar dentro del tiempo de vida del token de acceso. El TTL predeterminado en Keycloak es 5 minutos. Se han parcheado las versiones 10.8.4, 11.1.6 y 11.2.2.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/05/2024

Vulnerabilidad en GZ::CTF (CVE-2024-34699)

Fecha de publicación:

14/05/2024

Idioma:

Español

GZ::CTF es una plataforma de captura de bandera. Antes de la versión 0.20.1, los usuarios sin privilegios podían realizar ataques de Cross Site Scripting a otros usuarios mediante la creación de nombres de equipos maliciosos. Este problema se ha solucionado en `v0.20.1`.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2024

Vulnerabilidad en CreateWiki (CVE-2024-34701)

Fecha de publicación:

14/05/2024

Idioma:

Español

CreateWiki es la extensión MediaWiki de Miraheze para solicitar y crear wikis. Es posible que los usuarios sean considerados solicitantes de una solicitud de wiki específica si su ID de usuario local en cualquier wiki de una granja de wiki coincide con la ID local del solicitante en el wiki donde se realizó la solicitud de wiki. Esto les permite ir a la entrada de esa solicitud en Special:RequestWikiQueue en el wiki donde coincide su ID de usuario local y realizar cualquier acción que el solicitante del wiki pueda realizar desde allí. el commit 02e0f298f8d35155c39aa74193cb7b867432c5b8 soluciona el problema. Nota importante sobre la solución: esta vulnerabilidad se solucionó deshabilitando el acceso a la API REST y a páginas especiales fuera del wiki configurado como "wiki global" en `$wgCreateWikiGlobalWiki` en la configuración de MediaWiki de un usuario. Como workaround, es posible desactivar las páginas especiales fuera de la propia wiki global haciendo algo similar a `miraheze/mw-config` commit e5664995fbb8644f9a80b450b4326194f20f9ddc que se adapta a la propia configuración. En cuanto a la API REST, antes de la solución, no había ningún endpoint REST que permitiera realizar escrituras. De todos modos, también es posible deshabilitarlo fuera del wiki global usando `$wgCreateWikiDisableRESTAPI` y `$wgConf` en la configuración de la propia granja de wiki.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2024

Vulnerabilidad en FreeScout (CVE-2024-34697)

Fecha de publicación:

14/05/2024

Idioma:

Español

FreeScout es un servicio de asistencia gratuito y un buzón de correo compartido autohospedado. Se ha identificado una vulnerabilidad de inyección de HTML almacenada en el módulo de recepción de correo electrónico de la aplicación Freescout. La vulnerabilidad permite a los atacantes inyectar contenido HTML malicioso en los correos electrónicos enviados al buzón de la aplicación. Esta vulnerabilidad surge del manejo inadecuado del contenido HTML en los correos electrónicos entrantes, lo que permite a los atacantes incrustar código HTML malicioso en el contexto del dominio de la aplicación. Los atacantes no autenticados pueden aprovechar esta vulnerabilidad para inyectar contenido HTML malicioso en los correos electrónicos. Esto podría dar lugar a diversos ataques, como secuestro de formularios, destrucción de aplicaciones o filtración de datos mediante inyección de CSS. Aunque los atacantes no autenticados se limitan a la inyección de HTML, las consecuencias aún pueden ser graves. La versión 1.8.139 implementa mecanismos estrictos de validación y sanitización de entradas para garantizar que cualquier contenido HTML recibido a través de correos electrónicos se desinfecte adecuadamente para evitar inyecciones HTML maliciosas.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/01/2025

Suscribirse a Vulnerabilidades