Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Campcodes Complete Online DJ Booking System 1.0 (CVE-2024-2715)
Fecha de publicación:
20/03/2024
Idioma:
Español
Una vulnerabilidad fue encontrada en Campcodes Complete Online DJ Booking System 1.0 y clasificada como problemática. Una función desconocida del archivo /admin/user-search.php es afectada por esta vulnerabilidad. La manipulación del argumento searchdata conduce a cross site scripting. El ataque puede lanzarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-257468.
Gravedad CVSS v3.1: BAJA
Última modificación:
19/02/2025

Vulnerabilidad en Campcodes Complete Online DJ Booking System 1.0 (CVE-2024-2716)
Fecha de publicación:
20/03/2024
Idioma:
Español
Se encontró una vulnerabilidad en Campcodes Complete Online DJ Booking System 1.0. Ha sido clasificada como problemática. Esto afecta a una parte desconocida del archivo /admin/contactus.php. La manipulación del argumento correo electrónico conduce a cross site scripting. Es posible iniciar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-257469.
Gravedad CVSS v3.1: BAJA
Última modificación:
19/02/2025

Vulnerabilidad en Zulip (CVE-2024-27286)
Fecha de publicación:
20/03/2024
Idioma:
Español
Zulip es una colaboración en equipo de código abierto. Cuando un usuario mueve un mensaje de Zulip, tiene la opción de mover todos los mensajes del tema, mover también solo los mensajes posteriores o mover solo un mensaje. Si el usuario elige mover solo un mensaje y lo mueve de una transmisión pública a una privada, Zulip movería exitosamente el mensaje, pero los usuarios activos que no tenían acceso a la transmisión privada, pero cuyo cliente ya lo había hecho. recibido el mensaje, continuaría viendo el mensaje en la transmisión pública hasta que recargaran su cliente. Además, Zulip no eliminó los permisos de visualización del mensaje de los usuarios activos recientemente, lo que permitió que el mensaje apareciera en la vista "Todos los mensajes" o en los resultados de búsqueda, pero no en las vistas "Bandeja de entrada" o "Conversaciones recientes". Si bien el error ha estado presente desde que se introdujo por primera vez el movimiento de mensajes entre transmisiones en la versión 3.0, esta opción se volvió mucho más común a partir de Zulip 8.0, cuando se cambió la opción predeterminada en el selector para mover el último mensaje de una conversación. Este problema se solucionó en Zulip Server 8.3. No hay workarounds disponibles.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/09/2025

Vulnerabilidad en Jupyter Server Proxy (CVE-2024-28179)
Fecha de publicación:
20/03/2024
Idioma:
Español
Jupyter Server Proxy permite a los usuarios ejecutar procesos externos arbitrarios junto con sus servidores portátiles Jupyter y proporciona acceso web autenticado. Antes de las versiones 3.2.3 y 4.1.1, Jupyter Server Proxy no verificaba adecuadamente la autenticación del usuario al utilizar websockets, lo que permitía el acceso no autenticado a cualquier persona que tuviera acceso de red al endpoint del servidor Jupyter. Esta vulnerabilidad puede permitir el acceso remoto no autenticado a cualquier endpoint de websocket configurado para ser accesible a través de Jupyter Server Proxy. En muchos casos, esto conduce a la ejecución remota de código arbitrario no autenticado, debido a cómo las instancias afectadas usan websockets. Los endpoints de websocket expuestos por el propio `jupyter_server` no se ven afectados. Los proyectos que no dependen de websockets tampoco se ven afectados. Las versiones 3.2.3 y 4.1.1 contienen una solución para este problema.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/02/2025

Vulnerabilidad en eprosima Fast DDS (CVE-2024-28231)
Fecha de publicación:
20/03/2024
Idioma:
Español
eprosima Fast DDS es una implementación en C++ del estándar del Servicio de Distribución de Datos del Object Management Group. Antes de las versiones 2.14.0, 2.13.4, 2.12.3, 2.10.4 y 2.6.8, el submensaje de DATOS manipulado puede provocar un error de desbordamiento de búfer de almacenamiento dinámico en el proceso Fast-DDS, lo que provoca que el proceso finalice de forma remota. Además, el tamaño de el payload en el paquete del submensaje de DATOS se declara como uint32_t. Cuando se ingresa un número negativo, como -1, en esta variable, se produce un desbordamiento de enteros (por ejemplo, -1 se convierte en 0xFFFFFFFF). Esto eventualmente conduce a un desbordamiento de búfer de almacenamiento dinámico, lo que provoca que el programa finalice. Las versiones 2.14.0, 2.13.4, 2.12.3, 2.10.4 y 2.6.8 contienen una solución para este problema.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/06/2025

Vulnerabilidad en Draytek Vigor3910 4.3.2.5 (CVE-2024-23721)
Fecha de publicación:
20/03/2024
Idioma:
Español
Se descubrió un problema de Directory Traversal en process_post en dispositivos Draytek Vigor3910 4.3.2.5. Al enviar una determinada solicitud POST, llama a la función y exporta información.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/05/2025

Vulnerabilidad en Tenda AC10U 15.03.06.48 (CVE-2024-2711)
Fecha de publicación:
20/03/2024
Idioma:
Español
Se encontró una vulnerabilidad en Tenda AC10U 15.03.06.48. Ha sido calificada como crítica. La función addWifiMacFilter del archivo /goform/addWifiMacFilter es afectada por esta vulnerabilidad. La manipulación del argumento dispositivoMac conduce a un desbordamiento de búfer en la región stack de la memoria. El ataque puede lanzarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-257462 es el identificador asignado a esta vulnerabilidad. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/12/2024

Vulnerabilidad en Tenda AC10U 15.03.06.49 (CVE-2024-2709)
Fecha de publicación:
20/03/2024
Idioma:
Español
Se encontró una vulnerabilidad en Tenda AC10U 15.03.06.49. Ha sido clasificada como crítica. La función fromSetRouteStatic del fichero /goform/SetStaticRouteCfg es afectada por la vulnerabilidad. La manipulación de la lista de argumentos provoca un desbordamiento de búfer en la región stack de la memoria. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-257460. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/12/2024

Vulnerabilidad en Tenda AC10U 15.03.06.49 (CVE-2024-2710)
Fecha de publicación:
20/03/2024
Idioma:
Español
Se encontró una vulnerabilidad en Tenda AC10U 15.03.06.49. Ha sido declarada crítica. La función setSchedWifi del archivo /goform/openSchedWifi es afectada por esta vulnerabilidad. La manipulación del argumento schedStartTime provoca un desbordamiento de búfer en la región stack de la memoria. El ataque se puede lanzar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-257461. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/12/2024

Vulnerabilidad en GeoServer (CVE-2024-23821)
Fecha de publicación:
20/03/2024
Idioma:
Español
GeoServer es un servidor de software de código abierto escrito en Java que permite a los usuarios compartir y editar datos geoespaciales. Existe una vulnerabilidad de cross-site scripting (XSS) almacenado en versiones anteriores a la 2.23.4 y 2.24.1 que permite a un administrador autenticado con privilegios a nivel de espacio de trabajo almacenar un payload de JavaScript en el catálogo de GeoServer que se ejecutará en el contexto de la cuenta de otro usuario. navegador cuando se ve en la página de demostraciones de GWC. El acceso a la página de demostraciones de GWC está disponible para todos los usuarios, aunque la seguridad de los datos puede limitar la capacidad de los usuarios para activar el XSS. Las versiones 2.23.4 y 2.24.1 contienen un parche para este problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/12/2024

Vulnerabilidad en Tenda AC10U 15.03.06.49 (CVE-2024-2708)
Fecha de publicación:
20/03/2024
Idioma:
Español
Una vulnerabilidad fue encontrada en Tenda AC10U 15.03.06.49 y clasificada como crítica. Este problema afecta a la función formexeCommand del archivo /goform/execCommand. La manipulación del argumento cmdinput provoca un desbordamiento de búfer en la región stack de la memoria. El ataque puede iniciarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-257459. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/12/2024

Vulnerabilidad en GeoServer (CVE-2024-23819)
Fecha de publicación:
20/03/2024
Idioma:
Español
GeoServer es un servidor de software de código abierto escrito en Java que permite a los usuarios compartir y editar datos geoespaciales. Existe una vulnerabilidad de cross-site scripting (XSS) almacenado en versiones anteriores a la 2.23.4 y 2.24.1 que permite a un administrador autenticado con privilegios a nivel de espacio de trabajo almacenar un payload de JavaScript en el catálogo de GeoServer que se ejecutará en el contexto de la cuenta de otro usuario. navegador cuando se ve en la página HTML de MapML. La extensión MapML debe estar instalada y el acceso a la página HTML de MapML está disponible para todos los usuarios, aunque la seguridad de los datos puede limitar la capacidad de los usuarios para activar el XSS. Las versiones 2.23.4 y 2.24.1 contienen un parche para este problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/12/2024
Suscribirse a Vulnerabilidades