Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en arduino-esp32 (CVE-2024-45798)

Fecha de publicación:
17/09/2024
Idioma:
Español
arduino-esp32 es un núcleo Arduino para los microcontroladores ESP32, ESP32-S2, ESP32-S3, ESP32-C3, ESP32-C6 y ESP32-H2. El CI `arduino-esp32` es vulnerable a múltiples vulnerabilidades de Poisoned Pipeline Execution (PPE). Inyección de código en el flujo de trabajo `tests_results.yml` (`GHSL-2024-169`) e inyección de variable de entorno (`GHSL-2024-170`). Estos problemas se han solucionado, pero se recomienda a los usuarios que verifiquen el contenido de los artefactos descargados.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
15/04/2026

Vulnerabilidad en Dynamics 365 Business Central (CVE-2024-43460)

Fecha de publicación:
17/09/2024
Idioma:
Español
Una autorización incorrecta en Dynamics 365 Business Central provocó una vulnerabilidad que permite a un atacante autenticado elevar privilegios en una red.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/09/2024

Vulnerabilidad en GroupMe (CVE-2024-38183)

Fecha de publicación:
17/09/2024
Idioma:
Español
Una vulnerabilidad de control de acceso inadecuado en GroupMe permite a un atacante no autenticado elevar los privilegios en una red al convencer a un usuario de hacer clic en un enlace malicioso.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
31/12/2024

Vulnerabilidad en CodeCanyon RISE Ultimate Project Manager 3.7.0 (CVE-2024-8945)

Fecha de publicación:
17/09/2024
Idioma:
Español
Se ha encontrado una vulnerabilidad en CodeCanyon RISE Ultimate Project Manager 3.7.0 y se ha clasificado como crítica. Esta vulnerabilidad afecta al código desconocido del archivo /index.php/dashboard/save. La manipulación del argumento id provoca una inyección SQL. El ataque se puede iniciar de forma remota. El exploit se ha hecho público y puede utilizarse. Se recomienda actualizar el componente afectado.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/09/2024

CVE-2024-45804

Fecha de publicación:
17/09/2024
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: This CVE is a duplicate of another CVE.
Gravedad: Pendiente de análisis
Última modificación:
17/09/2024

Vulnerabilidad en Devise-Two-Factor (CVE-2024-8796)

Fecha de publicación:
17/09/2024
Idioma:
Español
Con la configuración predeterminada, las versiones de Devise-Two-Factor >= 2.2.0 y < 6.0.0 generan secretos compartidos TOTP de 120 bits en lugar del mínimo de 128 bits definido por RFC 4226. El uso de un secreto compartido más corto que el mínimo para generar un código de autenticación multifactor podría facilitar que un atacante adivine el secreto compartido y genere códigos TOTP válidos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/09/2024

Vulnerabilidad en code-projects Hospital Management System 1.0 (CVE-2024-8944)

Fecha de publicación:
17/09/2024
Idioma:
Español
Se ha encontrado una vulnerabilidad clasificada como crítica en code-projects Hospital Management System 1.0. Afecta a una parte desconocida del archivo check_availability.php. La manipulación del argumento email provoca una inyección SQL. Es posible iniciar el ataque de forma remota. El exploit ha sido divulgado al público y puede ser utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/10/2025

Vulnerabilidad en vCenter Server (CVE-2024-38813)

Fecha de publicación:
17/09/2024
Idioma:
Español
vCenter Server contiene una vulnerabilidad de escalada de privilegios. Un actor malintencionado con acceso de red al servidor vCenter puede activar esta vulnerabilidad para escalar privilegios a la raíz mediante el envío de un paquete de red especialmente manipulado.
Gravedad CVSS v3.1: ALTA
Última modificación:
31/10/2025

Vulnerabilidad en Millbeck Communications (CVE-2024-45682)

Fecha de publicación:
17/09/2024
Idioma:
Español
Existe una vulnerabilidad de inyección de comandos que puede permitir a un atacante inyectar información maliciosa en el sistema operativo del dispositivo.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
27/09/2024

Vulnerabilidad en ArubaOS (CVE-2024-42501)

Fecha de publicación:
17/09/2024
Idioma:
Español
Existe una vulnerabilidad de Path Traversal autenticado en ArubaOS. La explotación exitosa de esta vulnerabilidad permite a un atacante instalar paquetes no firmados en el sistema operativo subyacente, lo que le permite al actor de la amenaza ejecutar código arbitrario o instalar implantes.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en ArubaOS (CVE-2024-42502)

Fecha de publicación:
17/09/2024
Idioma:
Español
Existe una vulnerabilidad de inyección de comandos autenticados en la interfaz de línea de comandos de ArubaOS. La explotación exitosa de esta vulnerabilidad da como resultado la capacidad de inyectar comandos de shell en el sistema operativo subyacente.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en ArubaOS (CVE-2024-42503)

Fecha de publicación:
17/09/2024
Idioma:
Español
Existe una vulnerabilidad de ejecución de comandos autenticados en la interfaz de línea de comandos (CLI) de ArubaOS. La explotación exitosa de esta vulnerabilidad da como resultado la capacidad de ejecutar comandos arbitrarios como un usuario privilegiado en el sistema operativo subyacente.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026