Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Mio (CVE-2024-27308)

Fecha de publicación:

06/03/2024

Idioma:

Español

Mio es una librería Metal I/O para Rust. Cuando se utilizan canalizaciones con nombre en Windows, mio, en algunas circunstancias, devolverá tokens no válidos que corresponden a canalizaciones con nombre que ya se han dado de baja del registro de mio. El impacto de esta vulnerabilidad depende de cómo se utilice mio. Para algunas aplicaciones, los tokens no válidos pueden ignorarse o provocar una advertencia o un bloqueo. Por otro lado, para las aplicaciones que almacenan punteros en tokens, esta vulnerabilidad puede resultar en un use-after-free para los usuarios de Tokio, esta vulnerabilidad es grave y puede resultar en un use-after-free en Tokio. La vulnerabilidad es específica de Windows y solo puede ocurrir si utiliza canalizaciones con nombre. Otros recursos de IO no se ven afectados. Esta vulnerabilidad se ha solucionado en mio v0.8.11. Todas las versiones de mio entre v0.7.2 y v0.8.10 son vulnerables. Tokio es vulnerable cuando estás usando una versión vulnerable de mio Y estás usando al menos Tokio v1.30.0. Las versiones de Tokio anteriores a la v1.30.0 ignorarán los tokens no válidos, por lo que no son vulnerables. Las bibliotecas vulnerables que utilizan mio pueden solucionar este problema detectando e ignorando tokens no válidos.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/12/2025

Vulnerabilidad en JSONata (CVE-2024-27307)

Fecha de publicación:

06/03/2024

Idioma:

Español

JSONata es un lenguaje de consulta y transformación JSON. A partir de la versión 1.4.0 y anteriores a las versiones 1.8.7 y 2.0.4, una expresión maliciosa puede utilizar el operador de transformación para anular propiedades en el constructor y prototipo del `Objeto`. Esto puede provocar denegación de servicio, ejecución remota de código u otro comportamiento inesperado en aplicaciones que evalúan expresiones JSONata proporcionadas por el usuario. Este problema se solucionó en las versiones 1.8.7 y 2.0.4 de JSONata. Las aplicaciones que evalúan expresiones proporcionadas por el usuario deben actualizarse lo antes posible para evitar la explotación. Como solución alternativa, se puede aplicar el parche manualmente.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

04/12/2025

Vulnerabilidad en RobotsAndPencils go-saml (CVE-2023-48703)

Fecha de publicación:

06/03/2024

Idioma:

Español

RobotsAndPencils go-saml, una librería cliente SAML escrita en Go, contiene una vulnerabilidad de omisión de autenticación en todas las versiones conocidas. Esto se debe a cómo se llama internamente a la herramienta de línea de comando `xmlsec1` para verificar la firma de las aserciones SAML. Cuando se utiliza `xmlsec1` sin definir los datos de la clave habilitada, desafortunadamente el origen de la clave pública para la verificación de la firma no está restringido. Eso significa que un atacante puede firmar las afirmaciones SAML por sí mismo y proporcionar la clave pública requerida (por ejemplo, una clave RSA) directamente integrada en el token SAML. Los proyectos que todavía usan RobotsAndPencils/go-saml deben trasladarse a otra librería SAML o, alternativamente, eliminar la compatibilidad con SAML de sus proyectos. Es probable que la vulnerabilidad pueda solucionarse temporalmente bifurcando el proyecto go-saml y agregando el argumento de línea de comando `--enabled-key-data` y especificando un valor como `x509` o `raw-x509-cert` al llamar al ` xmlsec1` binario en la función de verificación. Tenga en cuenta que esta workaround se debe probar cuidadosamente antes de poder utilizarla.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/12/2025

Vulnerabilidad en Google Chrome (CVE-2024-2174)

Fecha de publicación:

06/03/2024

Idioma:

Español

La implementación inadecuada en V8 en Google Chrome anterior a 122.0.6261.111 permitió a un atacante remoto explotar potencialmente la corrupción del montón a través de una página HTML manipulada. (Severidad de seguridad de Chrome: alta)

Gravedad CVSS v3.1: ALTA

Última modificación:

19/12/2024

Vulnerabilidad en Google Chrome (CVE-2024-2176)

Fecha de publicación:

06/03/2024

Idioma:

Español

Use after free en FedCM en Google Chrome anterior a 122.0.6261.111 permitía a un atacante remoto explotar potencialmente la corrupción del montón a través de una página HTML manipulada. (Severidad de seguridad de Chrome: alta)

Gravedad CVSS v3.1: ALTA

Última modificación:

19/12/2024

Vulnerabilidad en Google Chrome (CVE-2024-2173)

Fecha de publicación:

06/03/2024

Idioma:

Español

El acceso a memoria fuera de los límites en V8 en Google Chrome anterior a 122.0.6261.111 permitía a un atacante remoto realizar un acceso a la memoria fuera de los límites a través de una página HTML manipulada. (Severidad de seguridad de Chrome: alta)

Gravedad CVSS v3.1: ALTA

Última modificación:

21/03/2025

Vulnerabilidad en Go-zero (CVE-2024-27302)

Fecha de publicación:

06/03/2024

Idioma:

Español

go-zero es un framework web y rpc. Go-zero permite al usuario especificar un filtro CORS con un parámetro de permisos configurable, que es una serie de dominios permitidos en la política CORS. Sin embargo, `isOriginAllowed` usa `strings.HasSuffix` para verificar el origen, lo que lleva a pasar por alto un dominio malicioso. Esta vulnerabilidad es capaz de romper la política CORS y así permitir que cualquier página realice solicitudes y/o recupere datos en nombre de otros usuarios. La versión 1.4.4 soluciona este problema.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

03/12/2025

Vulnerabilidad en PostgreSQL (CVE-2024-27304)

Fecha de publicación:

06/03/2024

Idioma:

Español

pgx es un controlador PostgreSQL y un conjunto de herramientas para Go. La inyección de SQL puede ocurrir si un atacante puede hacer que una sola consulta o mensaje de enlace supere los 4 GB de tamaño. Un desbordamiento de enteros en el tamaño del mensaje calculado puede provocar que un mensaje grande se envíe como varios mensajes bajo el control del atacante. El problema se resuelve en v4.18.2 y v5.5.4. Como solución alternativa, rechace la entrada del usuario lo suficientemente grande como para provocar que una sola consulta o mensaje vinculado supere los 4 GB de tamaño.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

04/12/2025

Vulnerabilidad en electron-builder (CVE-2024-27303)

Fecha de publicación:

06/03/2024

Idioma:

Español

electron-builder es una solución para empaquetar y crear una aplicación Electron, Proton Native lista para su distribución para macOS, Windows y Linux. Una vulnerabilidad que solo afecta a eletron-builder anterior a 24.13.2 en Windows, el instalador de NSIS realiza una llamada al sistema para abrir cmd.exe a través de NSExec en el script del instalador `.nsh`. NSExec busca de forma predeterminada el directorio actual donde se encuentra el instalador antes de buscar `PATH`. Esto significa que si un atacante puede colocar un archivo ejecutable malicioso llamado cmd.exe en la misma carpeta que el instalador, el instalador ejecutará el archivo malicioso. La versión 24.13.2 soluciona este problema. No existe ningún workaround. El código se ejecuta en el nivel del instalador antes de que la aplicación esté presente en el sistema, por lo que no hay forma de verificar si existe en un instalador actual.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/12/2025

Vulnerabilidad en PostgreSQL (CVE-2024-27289)

Fecha de publicación:

06/03/2024

Idioma:

Español

pgx es un controlador PostgreSQL y un conjunto de herramientas para Go. Antes de la versión 4.18.2, la inyección SQL puede ocurrir cuando se cumplen todas las condiciones siguientes: se utiliza el protocolo simple no predeterminado; un marcador de posición para un valor numérico debe ir precedido inmediatamente de un signo menos; debe haber un segundo marcador de posición para un valor de cadena después del primer marcador de posición; ambos deben estar en la misma línea; y ambos valores de parámetros deben ser controlados por el usuario. El problema se resuelve en v4.18.2. Como solución alternativa, no utilice el protocolo simple ni coloque un signo menos directamente antes de un marcador de posición.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/12/2025

Vulnerabilidad en CasaOS-UserService (CVE-2024-24766)

Fecha de publicación:

06/03/2024

Idioma:

Español

CasaOS-UserService proporciona funcionalidades de gestión de usuarios a CasaOS. A partir de la versión 0.4.4.3 y antes de la versión 0.4.7, la página de inicio de sesión de Casa OS reveló la vulnerabilidad de enumeración de nombres de usuario en la página de inicio de sesión. Un atacante puede enumerar el nombre de usuario de CasaOS utilizando la respuesta de la aplicación. Si el nombre de usuario es incorrecto, la aplicación muestra el error `**El usuario no existe**`. Si la contraseña es incorrecta, la aplicación muestra el error `**Contraseña no válida**`. La versión 0.4.7 soluciona este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/05/2025

Vulnerabilidad en 1Panel (CVE-2024-27288)

Fecha de publicación:

06/03/2024

Idioma:

Español

1Panel es un panel de gestión de operación y mantenimiento de servidores Linux de código abierto. Antes de la versión 1.10.1-lts, los usuarios podían usar Burp para obtener acceso no autorizado a la página de la consola. La vulnerabilidad se ha solucionado en v1.10.1-lts. No se conocen workarounds.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/02/2025

Suscribirse a Vulnerabilidades