Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en SourceCodester Music Gallery Site 1.0 (CVE-2024-8336)
Fecha de publicación:
30/08/2024
Idioma:
Español
Se ha encontrado una vulnerabilidad clasificada como crítica en SourceCodester Music Gallery Site 1.0. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo /php-music/classes/Master.php?f=delete_music. La manipulación del argumento id conduce a una inyección SQL. El ataque se puede ejecutar de forma remota. El exploit se ha hecho público y puede utilizarse.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/09/2024

Vulnerabilidad en OpenRapid RapidCMS (CVE-2024-8335)
Fecha de publicación:
30/08/2024
Idioma:
Español
Se ha detectado una vulnerabilidad clasificada como crítica en OpenRapid RapidCMS hasta la versión 1.3.1. Se trata de una función desconocida del archivo /resource/runlogon.php. La manipulación del argumento username provoca una inyección SQL. Es posible lanzar el ataque de forma remota. El exploit se ha hecho público y puede utilizarse.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
19/09/2024

Vulnerabilidad en OPA (CVE-2024-8260)
Fecha de publicación:
30/08/2024
Idioma:
Español
Existe una vulnerabilidad de autenticación forzada de SMB en todas las versiones de OPA para Windows anteriores a la v0.68.0. La vulnerabilidad existe debido a una validación de entrada incorrecta, que permite que un usuario pase un recurso compartido de SMB arbitrario en lugar de un archivo Rego como argumento a la CLI de OPA o a una de las funciones de la librería Go de OPA.
Gravedad CVSS v3.1: ALTA
Última modificación:
19/09/2024

Vulnerabilidad en master-nan Sweet-CMS (CVE-2024-8334)
Fecha de publicación:
30/08/2024
Idioma:
Español
Se encontró una vulnerabilidad en master-nan Sweet-CMS hasta 5f441e022b8876f07cde709c77b5be6d2f262e3f. Se ha calificado como problemática. Este problema afecta a la función LogHandler del archivo middleware/log.go. La manipulación conduce a una neutralización incorrecta de la salida de los registros. El ataque puede iniciarse de forma remota. Este producto adopta el enfoque de lanzamientos continuos para proporcionar una entrega continua. Por lo tanto, los detalles de la versión para los lanzamientos afectados y actualizados no están disponibles. El identificador del parche es 2024c370e6c78b07b358c9d4257fa5d1be732c38. Se recomienda aplicar un parche para solucionar este problema.
Gravedad CVSS v3.1: ALTA
Última modificación:
19/09/2024

Vulnerabilidad en master-nan Sweet-CMS (CVE-2024-8332)
Fecha de publicación:
30/08/2024
Idioma:
Español
Se encontró una vulnerabilidad en master-nan Sweet-CMS hasta 5f441e022b8876f07cde709c77b5be6d2f262e3f. Se ha declarado como crítica. Esta vulnerabilidad afecta al código desconocido del archivo /table/index. La manipulación conduce a la inyección de SQL. El ataque se puede iniciar de forma remota. Este producto utiliza una versión continua para proporcionar una entrega continua. Por lo tanto, no hay detalles de la versión de las versiones afectadas ni de las actualizadas. El nombre del parche es 146359646a5a90cb09156dbd0013b7df77f2aa6c. Se recomienda aplicar un parche para solucionar este problema.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/09/2024

Vulnerabilidad en OpenRapid RapidCMS (CVE-2024-8331)
Fecha de publicación:
30/08/2024
Idioma:
Español
Se ha detectado una vulnerabilidad en OpenRapid RapidCMS hasta la versión 1.3.1. Se ha clasificado como crítica. Afecta a una parte desconocida del archivo /admin/user/user-move-run.php. La manipulación del argumento username provoca una inyección SQL. Es posible iniciar el ataque de forma remota. El exploit se ha hecho público y puede utilizarse.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/09/2024

Vulnerabilidad en kernel de Linux (CVE-2022-48944)
Fecha de publicación:
30/08/2024
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: sched: Fix yet more sched_fork() races Donde el commit 4ef0c5c6b5ba ("kernel/sched: Fix sched_fork() access an invalid sched_task_group") corrigió una ejecución de bifurcación contra cgroup, abrió una carrera contra syscalls al no colocar la tarea en la cola de ejecución antes de que se exponga a través de pidhash. El commit 13765de8148f ("sched/fair: Fix fault in reweight_entity") está intentando corregir una única instancia de esto, en lugar de corregir toda la clase de problemas, revirtiendo efectivamente esta confirmación.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/09/2024

Vulnerabilidad en WP Booking Calendar para WordPress (CVE-2024-8274)
Fecha de publicación:
30/08/2024
Idioma:
Español
El complemento WP Booking Calendar para WordPress es vulnerable a ataques de Cross-Site Scripting Reflejado a través de varios parámetros de 'timeline_obj' en todas las versiones hasta la 10.5 incluida, debido a una desinfección de entrada y un escape de salida insuficientes. Esto permite que atacantes no autenticados inyecten scripts web arbitrarias en páginas que se ejecutan si logran engañar a un usuario para que realice una acción, como hacer clic en un enlace.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/09/2024

Vulnerabilidad en Media Library Folders para WordPress (CVE-2024-7858)
Fecha de publicación:
30/08/2024
Idioma:
Español
El complemento Media Library Folders para WordPress es vulnerable al acceso no autorizado debido a la falta de comprobaciones de capacidad en varias funciones AJAX en el archivo media-library-plus.php en todas las versiones hasta la 8.2.3 incluida. Esto permite que atacantes autenticados, con acceso de nivel de suscriptor y superior, realicen varias acciones relacionadas con la gestión de archivos y carpetas multimedia, además de controlar la configuración.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/09/2024

Vulnerabilidad en Clean Login para WordPress (CVE-2024-8252)
Fecha de publicación:
30/08/2024
Idioma:
Español
El complemento Clean Login para WordPress es vulnerable a la inclusión de archivos locales en todas las versiones hasta la 1.14.5 incluida, a través del atributo 'template' del shortcode clean-login-register. Esto permite que atacantes autenticados, con acceso de nivel de colaborador o superior, incluyan y ejecuten archivos arbitrarios en el servidor, lo que permite la ejecución de cualquier código PHP en esos archivos. Esto se puede utilizar para eludir los controles de acceso, obtener datos confidenciales o lograr la ejecución de código en casos en los que se puedan cargar e incluir imágenes y otros tipos de archivos "seguros".
Gravedad CVSS v3.1: ALTA
Última modificación:
03/09/2024

Vulnerabilidad en Elementor Addon Elements para WordPress (CVE-2024-7122)
Fecha de publicación:
30/08/2024
Idioma:
Español
El complemento Elementor Addon Elements para WordPress es vulnerable a Cross Site Scripting almacenado a través de varios widgets en todas las versiones hasta la 1.13.6 incluida, debido a una desinfección de entrada insuficiente y al escape de salida en los atributos proporcionados por el usuario. Esto permite que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten scripts web arbitrarias en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/08/2025

Vulnerabilidad en kernel de Linux (CVE-2024-44944)
Fecha de publicación:
30/08/2024
Idioma:
Español
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: netfilter: ctnetlink: usar la función auxiliar para calcular el ID de expectativa. Al eliminar la ruta de expectativa falta una llamada a la función auxiliar nf_expect_get_id() para calcular el ID de expectativa; de lo contrario, el LSB de la dirección del objeto de expectativa se filtra al espacio de usuario.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/05/2026
Suscribirse a Vulnerabilidades