Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en OpenClinic GA 5.247.01 (CVE-2023-40276)

Fecha de publicación:

19/03/2024

Idioma:

Español

Se descubrió un problema en OpenClinic GA 5.247.01. Se ha descubierto una vulnerabilidad de descarga de archivos no autenticados en farmacia/exportFile.jsp.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

29/08/2024

Vulnerabilidad en OpenClinic GA 5.247.01 (CVE-2023-40277)

Fecha de publicación:

19/03/2024

Idioma:

Español

Se descubrió un problema en OpenClinic GA 5.247.01. Se ha descubierto una vulnerabilidad de Cross-Site Scripting (XSS) Reflejado en el parámetro de mensaje login.jsp.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/08/2024

Vulnerabilidad en OpenClinic GA 5.247.01 (CVE-2023-40280)

Fecha de publicación:

19/03/2024

Idioma:

Español

Se descubrió un problema en OpenClinic GA 5.247.01. Un atacante puede realizar un directory path traversal a través del parámetro Página en una solicitud GET a popup.jsp.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/08/2024

Vulnerabilidad en Fujian Kelixin Communication Command and Dispatch Platform (CVE-2024-2620)

Fecha de publicación:

19/03/2024

Idioma:

Español

Una vulnerabilidad ha sido encontrada en Fujian Kelixin Communication Command and Dispatch Platform hasta 20240318 y clasificada como crítica. Una función desconocida del archivo api/client/down_file.php es afectada por esta vulnerabilidad. La manipulación del argumento uuid conduce a la inyección de SQL. El ataque se puede lanzar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-257197.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/02/2025

Vulnerabilidad en SecureProps (CVE-2024-28864)

Fecha de publicación:

18/03/2024

Idioma:

Español

SecureProps es una librería PHP diseñada para simplificar el cifrado y descifrado de datos de propiedades en objetos. Una vulnerabilidad en SecureProps versión 1.2.0 y 1.2.1 implica que una expresión regular no detecta etiquetas durante el descifrado de datos cifrados. Esto ocurre cuando los datos cifrados se codificaron con `NullEncoder` y se pasaron a `TagAwareCipher` y contienen caracteres especiales como `\n`. Como resultado, se omite el proceso de descifrado ya que no se detectan las etiquetas. Esto hace que los datos cifrados se devuelvan en formato plano. La vulnerabilidad afecta a los usuarios que implementan `TagAwareCipher` con cualquier cifrado base que tenga `NullEncoder` (no predeterminado). Se ha publicado el parche para el problema. Se recomienda a los usuarios que actualicen a la versión 1.2.2. Como workaround, se puede utilizar el `Base64Encoder` predeterminado con el cifrado base decorado con `TagAwareCipher` para evitar que los caracteres especiales en la cadena cifrada interfieran con la lógica de detección de etiquetas regex. Este workaround es seguro pero puede implicar doble codificación ya que `TagAwareCipher` usa `NullEncoder` de forma predeterminada.

Gravedad CVSS v3.1: BAJA

Última modificación:

30/12/2025

Vulnerabilidad en Django (CVE-2024-28865)

Fecha de publicación:

18/03/2024

Idioma:

Español

django-wiki es un sistema wiki para Django. Las instalaciones de django-wiki anteriores a la versión 0.10.1 son vulnerables al contenido de artículos creados con fines malintencionados que pueden causar un uso severo de la CPU del servidor a través de un bucle de expresión regular. La versión 0.10.1 soluciona este problema. Como workaround, cierre el acceso para crear y editar artículos a usuarios anónimos.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/01/2026

Vulnerabilidad en Cilium (CVE-2024-28248)

Fecha de publicación:

18/03/2024

Idioma:

Español

Cilium es una solución de redes, observabilidad y seguridad con un plano de datos basado en eBPF. A partir de la versión 1.13.9 y antes de las versiones 1.13.13, 1.14.8 y 1.15.2, las políticas HTTP de Cilium no se aplican de manera consistente a todo el tráfico en el alcance de las políticas, lo que lleva a que el tráfico HTTP se reenvíe de manera incorrecta e intermitente cuando debería dejarse caer. Este problema se solucionó en Cilium 1.15.2, 1.14.8 y 1.13.13. No se conocen workarounds para este problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/01/2025

Vulnerabilidad en Cilium (CVE-2024-28249)

Fecha de publicación:

18/03/2024

Idioma:

Español

Cilium es una solución de redes, observabilidad y seguridad con un plano de datos basado en eBPF. Antes de las versiones 1.13.13, 1.14.8 y 1.15.2, en los clústeres de Cilium con IPsec habilitado y el tráfico que coincide con las políticas de Capa 7, el tráfico elegible para IPsec entre el proxy Envoy de un nodo y los pods en otros nodos se envía sin cifrar y es elegible para IPsec. El tráfico entre el proxy DNS de un nodo y los pods de otros nodos se envía sin cifrar. Este problema se resolvió en Cilium 1.15.2, 1.14.8 y 1.13.13. No se conoce ningún workaround para este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/01/2025

Vulnerabilidad en Cilium (CVE-2024-28250)

Fecha de publicación:

18/03/2024

Idioma:

Español

Cilium es una solución de redes, observabilidad y seguridad con un plano de datos basado en eBPF. A partir de la versión 1.14.0 y anteriores a las versiones 1.14.8 y 1.15.2, en los clústeres de Cilium con WireGuard habilitado y el tráfico que coincide con las políticas de Capa 7, el tráfico elegible para Wireguard que se envía entre el proxy Envoy de un nodo y los pods de otros nodos se envía sin cifrar. y el tráfico elegible para Wireguard que se envía entre el proxy DNS de un nodo y los pods de otros nodos se envía sin cifrar. Este problema se resolvió en Cilium 1.14.8 y 1.15.2 en modo de enrutamiento nativo (`routingMode=native`) y en Cilium 1.14.4 en modo de túnel (`routingMode=tunnel`). No es que en modo túnel, `encryption.wireguard.encapsulate` deba establecerse en `true`. No se conoce ningún workaround para este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/01/2025

Vulnerabilidad en ZITADEL (CVE-2024-28855)

Fecha de publicación:

18/03/2024

Idioma:

Español

ZITADEL, software de gestión de autenticación de código abierto, utiliza plantillas Go para representar la interfaz de usuario de inicio de sesión. Debido a un uso inadecuado del paquete `text/template` en lugar del paquete `html/template`, la interfaz de usuario de inicio de sesión no sanitizó los parámetros de entrada antes de las versiones 2.47.3, 2.46.1, 2.45.1, 2.44.3, 2.43. .9, 2.42.15 y 2.41.15. Un atacante podría crear un enlace malicioso, donde inyectaría un código que se mostraría como parte de la pantalla de inicio de sesión. Si bien era posible inyectar HTML, incluido JavaScript, la Política de seguridad de contenido impediría la ejecución de dichos scripts. Las versiones 2.47.3, 2.46.1, 2.45.1, 2.44.3, 2.43.9, 2.42.15 y 2.41.15 contienen un parche para este problema. No hay workarounds conocidos disponibles.

Gravedad CVSS v3.1: ALTA

Última modificación:

08/01/2025

Vulnerabilidad en OctoPrint (CVE-2024-28237)

Fecha de publicación:

18/03/2024

Idioma:

Español

OctoPrint proporciona una interfaz web para controlar impresoras 3D de consumo. Las versiones de OctoPrint hasta la 1.9.3 incluida contienen una vulnerabilidad que permite a administradores maliciosos configurar o convencer a una víctima con derechos de administrador para que configure una URL de instantánea de cámara web que, cuando se prueba a través del botón "Probar" incluido en la interfaz web, ejecutará código JavaScript en el navegador de la víctima al intentar renderizar la imagen instantánea. Un atacante que consiguiera convencer a una víctima con derechos de administrador para que realizara una prueba instantánea con una URL tan manipulada podría utilizarla para recuperar o modificar ajustes de configuración confidenciales, interrumpir impresiones o interactuar de otro modo con la instancia de OctoPrint de forma maliciosa. La vulnerabilidad está parcheada en la versión 1.10.0rc3. Se recomienda encarecidamente a los administradores de OctoPrint que investiguen minuciosamente quién tiene acceso de administrador a su instalación y qué configuraciones modifican según instrucciones de extraños.

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/01/2025

Vulnerabilidad en RaspberryMatic (CVE-2024-24578)

Fecha de publicación:

18/03/2024

Idioma:

Español

RaspberryMatic es un sistema operativo de código abierto para dispositivos de Internet de las cosas HomeMatic. RaspberryMatic/OCCU anterior a la versión 3.75.6.20240316 contiene una vulnerabilidad de ejecución remota de código (RCE) no autenticada, causada por múltiples problemas dentro del componente `HMIPServer.jar` basado en Java. RaspberryMatric incluye un `HMIPServer` basado en Java, al que se puede acceder a través de URL que comienzan con `/pages/jpages`. Sin embargo, la clase `FirmwareController` no realiza ninguna verificación de identificación de sesión, por lo que se puede acceder a esta función sin una sesión válida. Debido a este problema, los atacantes pueden obtener la ejecución remota de código como usuario root, lo que permite comprometer todo el sistema. La versión 3.75.6.20240316 contiene un parche.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/12/2025

Suscribirse a Vulnerabilidades