Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Asial JpGraph Professional (CVE-2024-39165)

Fecha de publicación:
04/07/2024
Idioma:
Español
QR/demoapp/qr_image.php en Asial JpGraph Professional hasta 4.2.6-pro permite a atacantes remotos ejecutar código de su elección a través de una carga PHP en el parámetro de datos junto con un nombre de archivo .php en el parámetro de nombre de archivo. Esto ocurre porque con el producto se envía una carpeta QR/demoapp innecesaria.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
02/09/2025

Vulnerabilidad en Kaiten 57.128.8 (CVE-2024-39211)

Fecha de publicación:
04/07/2024
Idioma:
Español
Kaiten 57.128.8 permite a atacantes remotos enumerar cuentas de usuario a través de una solicitud POST manipulada, porque una respuesta de inicio de sesión contiene un campo user_email sólo si la cuenta de usuario existe.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/08/2024

Vulnerabilidad en MRW (CVE-2024-6506)

Fecha de publicación:
04/07/2024
Idioma:
Español
Vulnerabilidad de exposición de información en el plugin MRW, en su versión 5.4.3, afectando a la funcionalidad "mrw_log". Esta vulnerabilidad podría permitir que un atacante remoto obtenga información de pedidos de otros clientes y acceda a información confidencial como nombre y número de teléfono. Esta vulnerabilidad también permite a un atacante crear o sobrescribir etiquetas de envío.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/07/2024

Vulnerabilidad en Nested Pages para WordPress (CVE-2024-5943)

Fecha de publicación:
04/07/2024
Idioma:
Español
El complemento Nested Pages para WordPress es vulnerable a Cross-Site Request Forgery en todas las versiones hasta la 3.2.7 incluida. Esto se debe a una validación nonce faltante o incorrecta en la función 'settingsPage' y a la falta de santización del parámetro 'tab'. Esto hace posible que atacantes no autenticados llamen a archivos php locales a través de una solicitud falsificada, siempre que puedan engañar al administrador del sitio para que realice una acción como hacer clic en un enlace.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/07/2024

Vulnerabilidad en Kaggle (CVE-2024-6507)

Fecha de publicación:
04/07/2024
Idioma:
Español
Inyección de comando al ingerir un conjunto de datos remoto de Kaggle debido a una falta de sanitización de entrada en la API ingest_kaggle()
Gravedad CVSS v3.1: ALTA
Última modificación:
25/11/2024

Vulnerabilidad en Johnson Controls (CVE-2024-32754)

Fecha de publicación:
04/07/2024
Idioma:
Español
En determinadas circunstancias, cuando el controlador está en modo de restablecimiento de fábrica esperando la configuración inicial, transmitirá su dirección MAC, número de serie y versión de firmware. Una vez configurado, el controlador ya no transmitirá esta información.
Gravedad CVSS v3.1: BAJA
Última modificación:
05/07/2024

Vulnerabilidad en IMGspider para WordPress (CVE-2024-6319)

Fecha de publicación:
04/07/2024
Idioma:
Español
El complemento IMGspider para WordPress es vulnerable a cargas de archivos arbitrarias debido a la falta de validación del tipo de archivo en la función 'cargar' en todas las versiones hasta la 2.3.10 incluida. Esto hace posible que atacantes autenticados, con permisos de nivel de colaborador y superiores, carguen archivos arbitrarios en el servidor del sitio afectado, lo que puede hacer posible la ejecución remota de código.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/07/2024

Vulnerabilidad en Premium Addons for Elementor para WordPress (CVE-2024-6434)

Fecha de publicación:
04/07/2024
Idioma:
Español
El complemento Premium Addons for Elementor para WordPress es vulnerable a la denegación de servicio de expresión regular (ReDoS) en todas las versiones hasta la 4.10.35 incluida. Esto se debe al procesamiento de la entrada proporcionada por el usuario como una expresión regular. Esto hace posible que atacantes autenticados, con acceso de nivel de autor y superior, creen y consulten un título de publicación malicioso, lo que ralentiza los recursos del servidor.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/07/2024

Vulnerabilidad en Apache HTTP Server 2.4.60 (CVE-2024-39884)

Fecha de publicación:
04/07/2024
Idioma:
Español
Una regresión en el núcleo de Apache HTTP Server 2.4.60 ignora parte del uso de la configuración de controladores heredada basada en el tipo de contenido. "AddType" y configuraciones similares, en algunas circunstancias en las que los archivos se solicitan indirectamente, dan como resultado la divulgación del código fuente del contenido local. Por ejemplo, los scripts PHP pueden servirse en lugar de interpretarse. Se recomienda a los usuarios actualizar a la versión 2.4.61, que soluciona este problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/07/2025

Vulnerabilidad en Smart Device Communication Gateway (CVE-2024-3904)

Fecha de publicación:
04/07/2024
Idioma:
Español
La vulnerabilidad de permisos predeterminados incorrectos en Smart Device Communication Gateway preinstalado en las versiones de firmware "05" a "07" de la serie MI5122-VW de MELIPC permite a un atacante local ejecutar código arbitrario guardando un archivo malicioso en una carpeta específica. Como resultado, el atacante puede revelar, alterar, destruir o eliminar información del producto, o provocar una condición de denegación de servicio (DoS) en el producto.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/07/2024

Vulnerabilidad en IMGspider para WordPress (CVE-2024-6318)

Fecha de publicación:
04/07/2024
Idioma:
Español
El complemento IMGspider para WordPress es vulnerable a cargas de archivos arbitrarias debido a la falta de validación del tipo de archivo en la función 'upload_img_file' en todas las versiones hasta la 2.3.10 incluida. Esto hace posible que atacantes autenticados, con permisos de nivel de colaborador y superiores, carguen archivos arbitrarios en el servidor del sitio afectado, lo que puede hacer posible la ejecución remota de código.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/07/2024

Vulnerabilidad en ICONICS GENESIS64, Mitsubishi Electric GENESIS64 y Mitsubishi Electric MC Works64 (CVE-2024-1573)

Fecha de publicación:
04/07/2024
Idioma:
Español
Vulnerabilidad de autenticación incorrecta en la función de monitoreo móvil de ICONICS GENESIS64 versiones 10.97 a 10.97.2, Mitsubishi Electric GENESIS64 versiones 10.97 a 10.97.2 y Mitsubishi Electric MC Works64 todas las versiones permite que un atacante remoto no autenticado omita la autenticación adecuada e inicie sesión en el sistema cuando Se cumplen todas las condiciones siguientes: * Se utiliza Active Directory en la configuración de seguridad. * La opción "Inicio de sesión automático" está habilitada en la configuración de seguridad. * El grupo de aplicaciones IcoAnyGlass IIS se ejecuta en una cuenta de dominio de Active Directory. * La cuenta del grupo de aplicaciones IcoAnyGlass IIS está incluida en GENESIS64TM y MC Works64 Security y tiene permiso para iniciar sesión.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/01/2026