Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Envoy (CVE-2024-30255)

Fecha de publicación:

04/04/2024

Idioma:

Español

Envoy es un proxy de servicio y borde de código abierto, nativo de la nube. La pila de protocolos HTTP/2 en las versiones de Envoy anteriores a 1.29.3, 1.28.2, 1.27.4 y 1.26.8 son vulnerables al agotamiento de la CPU debido a la inundación de tramas de CONTINUACIÓN. El códec HTTP/2 de Envoy permite al cliente enviar un número ilimitado de tramas de CONTINUACIÓN incluso después de exceder los límites del mapa de encabezado de Envoy. Esto permite a un atacante enviar una secuencia de tramas CONTINUATION sin que el bit END_HEADERS esté configurado causando la utilización de la CPU, consumiendo aproximadamente 1 núcleo por cada 300 Mbit/s de tráfico y culminando en una denegación de servicio por agotamiento de la CPU. Los usuarios deben actualizar a la versión 1.29.3, 1.28.2, 1.27.4 o 1.26.8 para mitigar los efectos de la inundación de CONTINUACIÓN. Como workaround, deshabilite el protocolo HTTP/2 para conexiones descendentes.

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/11/2025

Vulnerabilidad en gotortc (CVE-2024-29193)

Fecha de publicación:

04/04/2024

Idioma:

Español

gotortc es una aplicación de transmisión de cámara. Las versiones 1.8.5 y anteriores son vulnerables a Cross-Site Scripting basadas en DOM. La página de índice (`index.html`) muestra las transmisiones disponibles al obtener la API (`[0]`) en el lado del cliente. Luego, usa `Object.entries` para iterar sobre el resultado (`[1]`) cuyo primer elemento (`name`) se agrega usando `innerHTML` (`[2]`). En caso de que una víctima visite el servidor en cuestión, su navegador ejecutará la solicitud en la instancia de go2rtc. Después de la solicitud, el navegador será redirigido a go2rtc, en el que el XSS se ejecutará en el contexto del origen de go2rtc. Al momento de la publicación, no hay ningún parche disponible.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/09/2025

Vulnerabilidad en Cloudburst Network (CVE-2024-30249)

Fecha de publicación:

04/04/2024

Idioma:

Español

Cloudburst Network proporciona componentes de red utilizados en proyectos de Cloudburst. Una vulnerabilidad en versiones anteriores a `1.0.0.CR1-20240330.101522-15` afecta el software de acceso público según las versiones afectadas de la red y permite a un atacante usar la red como vector de amplificación para un ataque de denegación de servicio UDP contra un tercero. o como un intento de provocar la suspensión del servicio del anfitrión. Todos los consumidores de la librería deben actualizar al menos a la versión `1.0.0.CR1-20240330.101522-15` para recibir una solución. No se conocen workarounds más allá de actualizar la librería.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/04/2024

Vulnerabilidad en Livemarks (CVE-2024-30252)

Fecha de publicación:

04/04/2024

Idioma:

Español

Livemarks es una extensión del navegador que proporciona carpetas de marcadores de fuentes RSS. Las versiones de Livemarks anteriores a la 3.7 son vulnerables a la cross-site-request forgery. Un sitio web malicioso puede obligar a la extensión a enviar una solicitud GET autenticada a una URL arbitraria. Una solicitud autenticada es una solicitud en la que las cookies del navegador se envían junto con la solicitud. El script `subscribe.js` utiliza el primer parámetro de la ubicación URL actual como la URL de la fuente RSS a la que suscribirse y verifica que la fuente RSS sea XML válida. `subscribe.js` es accesible para un sitio web atacante debido a su uso en `subscribe.html`, una página HTML que está declarada como `web_accessible_resource` en `manifest.json`. Este problema puede dar lugar a una "escalada de privilegios". Un CSRF rompe la integridad de los servidores que se ejecutan en una red privada. Un usuario de la extensión del navegador puede tener un servidor privado con funciones peligrosas, que se supone que es seguro debido a la segmentación de la red. Al recibir una solicitud autenticada instanciada por un atacante, esta integridad se rompe. La versión 3.7 soluciona este problema eliminando subscribe.html de `web_accessible_resources`.

Gravedad CVSS v3.1: BAJA

Última modificación:

27/08/2025

Vulnerabilidad en MesonLSP (CVE-2024-30254)

Fecha de publicación:

04/04/2024

Idioma:

Español

MesonLSP es un servidor de lenguaje no oficial y no respaldado para meson escrito en C++. Una vulnerabilidad en versiones anteriores a la 4.1.4 permite sobrescribir archivos arbitrarios si el atacante puede hacer que la víctima ejecute el servidor de idioma dentro de un proyecto manipulado específico o `mesonlsp --full`. La versión 4.1.4 contiene un parche para este problema. Como workaround, evite ejecutar `mesonlsp --full` y establezca la opción del servidor de idioma `others.neverDownloadAutomatically` en `true`.

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/04/2024

Vulnerabilidad en Ericsson Network Manager (CVE-2024-25007)

Fecha de publicación:

04/04/2024

Idioma:

Español

Ericsson Network Manager (ENM), versiones anteriores a la 23.1, contiene una vulnerabilidad en la función de exportación del registro de la aplicación donde la neutralización inadecuada de elementos de fórmula en un archivo CSV puede provocar la ejecución de código o la divulgación de información. El impacto en la integridad y la disponibilidad es limitado. El atacante de la red adyacente con acceso de administración puede aprovechar la vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/04/2024

Vulnerabilidad en IBM Security Verify Access e IBM Application Gateway (CVE-2024-28787)

Fecha de publicación:

04/04/2024

Idioma:

Español

IBM Security Verify Access 10.0.0 a 10.0.7 e IBM Application Gateway 20.01 a 24.03 podrían permitir a un atacante remoto obtener información privada altamente confidencial o provocar una denegación de servicio mediante una solicitud HTTP especialmente manipulada. ID de IBM X-Force: 286584.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/08/2025

Vulnerabilidad en gotortc (CVE-2024-29192)

Fecha de publicación:

04/04/2024

Idioma:

Español

gotortc es una aplicación de transmisión de cámara. Las versiones 1.8.5 y anteriores son vulnerables a la cross-site-request forgery. El endpoint `/api/config` permite modificar la configuración existente con valores proporcionados por el usuario. Si bien la API solo permite que localhost interactúe sin autenticación, un atacante puede lograrlo dependiendo de cómo esté configurado go2rtc en la aplicación ascendente y, dado que este endpoint no está protegido contra CSRF, permite solicitudes de cualquier origen ( por ejemplo, un ataque "desde un vehículo en movimiento"). El controlador `exec` permite que cualquier flujo ejecute comandos arbitrarios. Un atacante puede agregar una secuencia personalizada a través de `api/config`, lo que puede llevar a la ejecución de comandos arbitrarios. En caso de que una víctima visite el servidor en cuestión, su navegador ejecutará las solicitudes en la instancia de go2rtc. El commit 8793c3636493c5efdda08f3b5ed5c6e1ea594fd9 agrega una advertencia sobre el acceso seguro a la API.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/09/2025

Vulnerabilidad en Vault y Vault Enterprise (CVE-2024-2660)

Fecha de publicación:

04/04/2024

Idioma:

Español

El método de autenticación de los certificados TLS de Vault y Vault Enterprise no validaba correctamente las respuestas de OCSP cuando se configuraban uno o más orígenes de OCSP. Se corrigió en Vault 1.16.0 y Vault Enterprise 1.16.1, 1.15.7 y 1.14.11.

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/08/2025

Vulnerabilidad en Esri Portal for ArcGIS (CVE-2024-25708)

Fecha de publicación:

04/04/2024

Idioma:

Español

Existe una vulnerabilidad de Cross-Site Scripting almacenada en Esri Portal for ArcGIS Enterprise Web App Builder versiones 10.8.1 – 10.9.1 que puede permitir que un atacante remoto y autenticado cree un enlace manipulado que, al hacer clic en él, podría ejecutar código JavaScript arbitrario en el navegador de la víctima. Los privilegios necesarios para ejecutar este ataque son elevados.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/04/2025

Vulnerabilidad en IBM WebSphere Application Server Liberty (CVE-2024-27268)

Fecha de publicación:

04/04/2024

Idioma:

Español

IBM WebSphere Application Server Liberty 18.0.0.2 a 24.0.0.3 es vulnerable a una denegación de servicio provocada por el envío de una solicitud especialmente manipulada. Un atacante remoto podría aprovechar esta vulnerabilidad para hacer que el servidor consuma recursos de memoria. ID de IBM X-Force: 284574.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/04/2025

Vulnerabilidad en Esri Portal for ArcGIS (CVE-2024-25709)

Fecha de publicación:

04/04/2024

Idioma:

Español

Existe una vulnerabilidad de Cross-site Scripting Almacenado en Esri Portal for ArcGIS versiones 10.8.1 – 1121 que puede permitir que un atacante remoto autenticado cree un vínculo manipulado que se puede guardar como una nueva ubicación al mover un elemento existente, lo que potencialmente ejecutará código JavaScript arbitrario en el navegador de la víctima. Los privilegios necesarios para ejecutar este ataque son altos.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/02/2026

Suscribirse a Vulnerabilidades