Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el repositorio de GitHub cockpit-hq/cockpit (CVE-2023-4433)

Fecha de publicación:

19/08/2023

Idioma:

Español

Cross-Site Scripting (XSS) almacenado en el repositorio de GitHub cockpit-hq/cockpit anterior a 2.6.4. <br />

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/08/2023

Vulnerabilidad en el repositorio de GitHub cockpit-hq/cockpit (CVE-2023-4432)

Fecha de publicación:

19/08/2023

Idioma:

Español

Vulnerabilidad de Cross-Site Scripting (XSS) reflejado en el repositorio de GitHub cockpit-hq/cockpit anterior a 2.6.4.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/08/2023

Vulnerabilidad en Social media skeleton (CVE-2023-40172)

Fecha de publicación:

18/08/2023

Idioma:

Español

Social media skeleton es un proyecto/framework de social media sin completar implementado usando php, css, javascript y html. Un ataque de Cross-Site Request Forgery (CSRF) es un tipo de ataque malicioso mediante el cual un atacante engaña a una víctima para que realice una acción en un sitio web que no tiene intención de hacer. Esto puede hacerse enviando a la víctima un enlace malicioso o explotando una vulnerabilidad en el sitio web. Antes de la versión 1.0.5, Social Media Skeleton no restringía correctamente los ataques CSRF. Esto se ha solucionado en la versión 1.0.5 y se recomienda a todos los usuarios que la actualicen. No se conocen soluciones para esta vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/08/2023

Vulnerabilidad en Social media skeleton (CVE-2023-40173)

Fecha de publicación:

18/08/2023

Idioma:

Español

Social media skeleton es un proyecto/framework de social media sin completar implementado usando php, css, javascript y html. Antes de la versión 1.0.5 Social media skeleton no salteaba correctamente las contraseñas dejando las contraseñas de los usuarios susceptibles de ser crackeadas si un atacante obtenía acceso a las contraseñas salteadas. Este problema se ha solucionado en la versión 1.0.5 y se recomienda a los usuarios que la actualicen. No se conocen soluciones para este problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/08/2023

Vulnerabilidad en Social media skeleton (CVE-2023-40174)

Fecha de publicación:

18/08/2023

Idioma:

Español

Social media skeleton es un proyecto/framework de social media sin completar implementado usando php, css, javascript y html. La expiración de sesión insuficiente es una vulnerabilidad de seguridad de aplicaciones web que ocurre cuando una aplicación web no gestiona adecuadamente el ciclo de vida de la sesión de un usuario. Las versiones de social media skeleton anteriores a la 1.0.5 no limitaban adecuadamente la gestión de los ciclos de vida de las sesiones de usuario. Este problema se ha solucionado en la versión 1.0.5 y se recomienda a los usuarios que actualicen. No se conocen soluciones para esta vulnerabilidad.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/08/2023

Vulnerabilidad en Puma (CVE-2023-40175)

Fecha de publicación:

18/08/2023

Idioma:

Español

Puma es un servidor web Ruby/Rack construido para paralelismo. Antes de las versiones 6.3.1 y 5.6.7, Puma mostraba un comportamiento incorrecto al analizar cuerpos de codificación de transferencia en trozos y cabeceras Content-Length de longitud cero de forma que permitía el contrabando de peticiones HTTP. La gravedad de este problema depende en gran medida de la naturaleza del sitio web que utiliza Puma. Esto podría ser causado por un análisis incorrecto de los campos finales en los cuerpos de codificación de transferencia en trozos o por el análisis de cabeceras Content-Length en blanco/longitud cero. Ambos problemas han sido solucionados y esta vulnerabilidad ha sido corregida en las versiones 6.3.1 y 5.6.7.Se recomienda a los usuarios que actualicen. No se conocen soluciones para esta vulnerabilidad.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/08/2023

Vulnerabilidad en Apache NiFi (CVE-2023-40037)

Fecha de publicación:

18/08/2023

Idioma:

Español

Apache NiFi 1.21.0 hasta 1.23.0 soportan accesos JDBC y JNDI JMS en varios procesadores y servicios de controlador con validación de URL de conexión que no proporciona suficiente protección contra entradas manipuladas. Un usuario autenticado y autorizado puede eludir la validación de URL de conexión utilizando un formato de entrada personalizado. La resolución mejora la validación de la URL de conexión e introduce la validación de propiedades relacionadas adicionales. Se recomienda actualizar a Apache NiFi 1.23.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/02/2025

Vulnerabilidad en Kidus Minimati (CVE-2023-38839)

Fecha de publicación:

18/08/2023

Idioma:

Español

Una vulnerabilidad de inyección SQL en Kidus Minimati v1.0.0 permite a un atacante remoto obtener información sensible a través del parámetro "ID" en el componente "fulldelete.php".

Gravedad CVSS v3.1: ALTA

Última modificación:

23/08/2023

Vulnerabilidad en ClamAV (CVE-2023-20212)

Fecha de publicación:

18/08/2023

Idioma:

Español

Una vulnerabilidad en el módulo AutoIt de ClamAV podría permitir a un atacante remoto no autenticado causar una condición de denegación de servicio (DoS) en un dispositivo afectado. Esta vulnerabilidad se debe a un error lógico en la gestión de memoria de un dispositivo afectado. Un atacante podría explotar esta vulnerabilidad enviando un archivo AutoIt manipulado para ser escaneado por ClamAV en el dispositivo afectado. Un exploit exitoso podría permitir al atacante causar que el proceso de escaneo de ClamAV se reinicie inesperadamente, resultando en una condición de DoS.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/01/2024

Vulnerabilidad en CSZ CMS (CVE-2023-38910)

Fecha de publicación:

18/08/2023

Idioma:

Español

CSZ CMS v1.3.0 es vulnerable a Cross-Site Scripting (XSS), que permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado introducido en la sección "Carousel Wiget" y eligiendo nuestro widget de carrusel creado anteriormente, en el plugin "Photo URL" y "YouTube URL".

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/08/2023

Vulnerabilidad en CSZ CMS (CVE-2023-38911)

Fecha de publicación:

18/08/2023

Idioma:

Español

Una vulnerabilidad de Cross-Site Scripting (XSS) en CSZ CMS v1.3.0 permite a los atacantes ejecutar código arbitrario a través de un payload manipulado en el parámetro "Gallery" en los campos URL de YouTube.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/08/2023