Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-2873

Fecha de publicación:
24/05/2023
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability classified as critical was found in Twister Antivirus 8. This vulnerability affects the function 0x804f2143/0x804f217f/0x804f214b/0x80800043 in the library filppd.sys of the component IoControlCode Handler. The manipulation leads to memory corruption. Local access is required to approach this attack. The exploit has been disclosed to the public and may be used. The identifier of this vulnerability is VDB-229852. NOTE: The vendor was contacted early about this disclosure but did not respond in any way.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/05/2024

CVE-2023-33980

Fecha de publicación:
24/05/2023
Idioma:
Inglés
*** Pendiente de traducción *** Bramble Synchronisation Protocol (BSP) in Briar before 1.4.22 allows attackers to cause a denial of service (repeated application crashes) via a series of long messages to a contact.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/01/2025

CVE-2023-33981

Fecha de publicación:
24/05/2023
Idioma:
Inglés
*** Pendiente de traducción *** Briar before 1.4.22 allows attackers to spoof other users' messages in a blog, forum, or private group, but each spoofed message would need to be an exact duplicate of a legitimate message displayed alongside the spoofed one.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/01/2025

CVE-2023-33982

Fecha de publicación:
24/05/2023
Idioma:
Inglés
*** Pendiente de traducción *** Bramble Handshake Protocol (BHP) in Briar before 1.5.3 is not forward secure: eavesdroppers can decrypt network traffic between two accounts if they later compromise both accounts. NOTE: the eavesdropping is typically impractical because BHP runs over an encrypted session that uses the Tor hidden service protocol.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/01/2025

CVE-2023-33983

Fecha de publicación:
24/05/2023
Idioma:
Inglés
*** Pendiente de traducción *** The Introduction Client in Briar through 1.5.3 does not implement out-of-band verification for the public keys of introducees. An introducer can launch man-in-the-middle attacks against later private communication between two introduced parties.
Gravedad CVSS v3.1: ALTA
Última modificación:
16/01/2025

CVE-2023-33950

Fecha de publicación:
24/05/2023
Idioma:
Inglés
*** Pendiente de traducción *** Pattern Redirects in Liferay Portal 7.4.3.48 through 7.4.3.76, and Liferay DXP 7.4 update 48 through 76 allows regular expressions that are vulnerable to ReDoS attacks to be used as patterns, which allows remote attackers to consume an excessive amount of server resources via crafted request URLs.
Gravedad CVSS v3.1: ALTA
Última modificación:
31/05/2023

CVE-2023-25028

Fecha de publicación:
24/05/2023
Idioma:
Inglés
*** Pendiente de traducción *** Auth. (admin+) Stored Cross-Site Scripting (XSS) vulnerability in chuyencode CC Custom Taxonomy plugin
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/05/2023

CVE-2022-47448

Fecha de publicación:
24/05/2023
Idioma:
Inglés
*** Pendiente de traducción *** Cross-Site Request Forgery (CSRF) vulnerability in dev.Xiligroup.Com - MS plugin
Gravedad CVSS v3.1: ALTA
Última modificación:
30/05/2023

CVE-2022-47446

Fecha de publicación:
24/05/2023
Idioma:
Inglés
*** Pendiente de traducción *** Cross-Site Request Forgery (CSRF) vulnerability in Viadat Creations Store Locator for WordPress with Google Maps – LotsOfLocales plugin
Gravedad CVSS v3.1: ALTA
Última modificación:
30/05/2023

CVE-2023-33949

Fecha de publicación:
24/05/2023
Idioma:
Inglés
*** Pendiente de traducción *** In Liferay Portal 7.3.0 and earlier, and Liferay DXP 7.2 and earlier the default configuration does not require users to verify their email address, which allows remote attackers to create accounts using fake email addresses or email addresses which they don't control. The portal property `company.security.strangers.verify` should be set to true.
Gravedad CVSS v3.1: ALTA
Última modificación:
31/05/2023

CVE-2023-1174

Fecha de publicación:
24/05/2023
Idioma:
Inglés
*** Pendiente de traducción *** This vulnerability exposes a network port in minikube running on macOS with Docker driver that could enable unexpected remote access to the minikube container.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
31/05/2023

CVE-2021-25748

Fecha de publicación:
24/05/2023
Idioma:
Inglés
*** Pendiente de traducción *** A security issue was discovered in ingress-nginx where a user that can create or update ingress objects can use a newline character to bypass the sanitization of the `spec.rules[].http.paths[].path` field of an Ingress object (in the `networking.k8s.io` or `extensions` API group) to obtain the credentials of the ingress-nginx controller. In the default configuration, that credential has access to all secrets in the cluster.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/06/2023