Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Gogs (CVE-2024-39931)

Fecha de publicación:
04/07/2024
Idioma:
Español
Gogs hasta 0.13.0 permite la eliminación de archivos internos.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/04/2025

Vulnerabilidad en Gogs (CVE-2024-39932)

Fecha de publicación:
04/07/2024
Idioma:
Español
Gogs hasta 0.13.0 permite la inyección de argumentos durante la vista previa de los cambios.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/04/2025

Vulnerabilidad en Gogs (CVE-2024-39933)

Fecha de publicación:
04/07/2024
Idioma:
Español
Gogs hasta 0.13.0 permite la inyección de argumentos durante el etiquetado de una nueva versión.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/04/2025

Vulnerabilidad en Exim (CVE-2024-39929)

Fecha de publicación:
04/07/2024
Idioma:
Español
Exim hasta la versión 4.97.1 analiza erróneamente un nombre de archivo de encabezado RFC 2231 multilínea y, por lo tanto, atacantes remotos pueden eludir un mecanismo de protección de bloqueo de extensión $mime_filename y potencialmente entregar archivos adjuntos ejecutables a los buzones de correo de los usuarios finales.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/07/2025

Vulnerabilidad en VMware Cloud Director Availability (CVE-2024-22277)

Fecha de publicación:
04/07/2024
Idioma:
Español
VMware Cloud Director Availability contiene una vulnerabilidad de inyección de HTML. Un actor malicioso con acceso de red a VMware Cloud Director Availability puede crear etiquetas HTML maliciosas para ejecutarlas dentro de las tareas de replicación.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/03/2025

Vulnerabilidad en Asial JpGraph Professional (CVE-2024-39165)

Fecha de publicación:
04/07/2024
Idioma:
Español
QR/demoapp/qr_image.php en Asial JpGraph Professional hasta 4.2.6-pro permite a atacantes remotos ejecutar código de su elección a través de una carga PHP en el parámetro de datos junto con un nombre de archivo .php en el parámetro de nombre de archivo. Esto ocurre porque con el producto se envía una carpeta QR/demoapp innecesaria.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
02/09/2025

Vulnerabilidad en Kaiten 57.128.8 (CVE-2024-39211)

Fecha de publicación:
04/07/2024
Idioma:
Español
Kaiten 57.128.8 permite a atacantes remotos enumerar cuentas de usuario a través de una solicitud POST manipulada, porque una respuesta de inicio de sesión contiene un campo user_email sólo si la cuenta de usuario existe.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/08/2024

Vulnerabilidad en MRW (CVE-2024-6506)

Fecha de publicación:
04/07/2024
Idioma:
Español
Vulnerabilidad de exposición de información en el plugin MRW, en su versión 5.4.3, afectando a la funcionalidad "mrw_log". Esta vulnerabilidad podría permitir que un atacante remoto obtenga información de pedidos de otros clientes y acceda a información confidencial como nombre y número de teléfono. Esta vulnerabilidad también permite a un atacante crear o sobrescribir etiquetas de envío.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/07/2024

Vulnerabilidad en Nested Pages para WordPress (CVE-2024-5943)

Fecha de publicación:
04/07/2024
Idioma:
Español
El complemento Nested Pages para WordPress es vulnerable a Cross-Site Request Forgery en todas las versiones hasta la 3.2.7 incluida. Esto se debe a una validación nonce faltante o incorrecta en la función 'settingsPage' y a la falta de santización del parámetro 'tab'. Esto hace posible que atacantes no autenticados llamen a archivos php locales a través de una solicitud falsificada, siempre que puedan engañar al administrador del sitio para que realice una acción como hacer clic en un enlace.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/07/2024

Vulnerabilidad en Kaggle (CVE-2024-6507)

Fecha de publicación:
04/07/2024
Idioma:
Español
Inyección de comando al ingerir un conjunto de datos remoto de Kaggle debido a una falta de sanitización de entrada en la API ingest_kaggle()
Gravedad CVSS v3.1: ALTA
Última modificación:
25/11/2024

Vulnerabilidad en Johnson Controls (CVE-2024-32754)

Fecha de publicación:
04/07/2024
Idioma:
Español
En determinadas circunstancias, cuando el controlador está en modo de restablecimiento de fábrica esperando la configuración inicial, transmitirá su dirección MAC, número de serie y versión de firmware. Una vez configurado, el controlador ya no transmitirá esta información.
Gravedad CVSS v3.1: BAJA
Última modificación:
05/07/2024

Vulnerabilidad en IMGspider para WordPress (CVE-2024-6319)

Fecha de publicación:
04/07/2024
Idioma:
Español
El complemento IMGspider para WordPress es vulnerable a cargas de archivos arbitrarias debido a la falta de validación del tipo de archivo en la función 'cargar' en todas las versiones hasta la 2.3.10 incluida. Esto hace posible que atacantes autenticados, con permisos de nivel de colaborador y superiores, carguen archivos arbitrarios en el servidor del sitio afectado, lo que puede hacer posible la ejecución remota de código.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/07/2024