Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ESPHome (CVE-2024-27287)

Fecha de publicación:
06/03/2024
Idioma:
Español
ESPHome es un sistema para controlar su ESP8266/ESP32 para sistemas de domótica. A partir de la versión 2023.12.9 y antes de la versión 2024.2.2, la edición del archivo de configuración API en el componente del panel de ESPHome versión 2023.12.9 (instalación de línea de comando y complemento Home Assistant) proporciona datos no desinfectados con `Tipo de contenido: texto/ HTML; charset=UTF-8`, lo que permite a un usuario autenticado remoto inyectar secuencias de comandos web arbitrarias y extraer cookies de sesión mediante secuencias de comandos entre sitios. Es posible que un usuario autenticado malicioso inyecte Javascript arbitrario en archivos de configuración mediante una solicitud POST al punto final /edit; el parámetro de configuración permite especificar el archivo a escribir. Para activar la vulnerabilidad XSS, la víctima debe visitar la página ` /edit?configuration=[archivo xss]`. Al abusar de esta vulnerabilidad, un actor malintencionado podría realizar operaciones en el tablero en nombre de un usuario registrado, acceder a información confidencial, crear, editar y eliminar archivos de configuración y actualizar firmware en tableros administrados. Además de esto, las cookies no están protegidas correctamente, lo que permite la filtración de los valores de las cookies de sesión. La versión 2024.2.2 contiene un parche para este problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/12/2025

Vulnerabilidad en Pega Platform (CVE-2023-50167)

Fecha de publicación:
06/03/2024
Idioma:
Español
Pega Platform de 7.1.7 a 23.1.1 se ve afectada por un problema XSS con la edición/presentación de contenido html del usuario.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/02/2025

Vulnerabilidad en eProsima Fast DDS (CVE-2023-50716)

Fecha de publicación:
06/03/2024
Idioma:
Español
eProsima Fast DDS (anteriormente Fast RTPS) es una implementación en C++ del estándar del Servicio de distribución de datos del Object Management Group. Antes de las versiones 2.13.0, 2.12.2, 2.11.3, 2.10.3 y 2.6.7, un submensaje DATA_FRAG no válido provoca un error sin errores y el proceso Fast-DDS se puede finalizar de forma remota. Si se envía un paquete Data_Frag no válido, el miembro `Inline_qos, SerializedPayload` del objeto `ch` intentará liberar memoria sin inicialización, lo que generará un error de "libre de errores". Las versiones 2.13.0, 2.12.2, 2.11.3, 2.10.2 y 2.6.7 solucionan este problema.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
16/04/2025

Vulnerabilidad en Galette (CVE-2024-24761)

Fecha de publicación:
06/03/2024
Idioma:
Español
Galette es una aplicación web de gestión de membresías para organizaciones sin fines de lucro. A partir de la versión 1.0.0 y antes de la versión 1.0.2, las páginas públicas están restringidas de forma predeterminada solo a administradores y miembros del personal. Desde la configuración es posible restringir a miembros actualizados o a todos. La versión 1.0.2 soluciona este problema.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/12/2024

Vulnerabilidad en CasaOS-UserService (CVE-2024-24765)

Fecha de publicación:
06/03/2024
Idioma:
Español
CasaOS-UserService proporciona funcionalidades de gestión de usuarios a CasaOS. Antes de la versión 0.4.7, el filtrado de rutas de la URL para los archivos de imágenes de avatar de usuario no era estricto, lo que hacía posible obtener cualquier archivo en el sistema. Esto podría permitir que un actor no autorizado acceda, por ejemplo, a la base de datos de usuarios de CasaOS y posiblemente obtenga privilegios de raíz del sistema. La versión 0.4.7 soluciona este problema.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/02/2025

Vulnerabilidad en CasaOS-UserService (CVE-2024-24767)

Fecha de publicación:
06/03/2024
Idioma:
Español
CasaOS-UserService proporciona funcionalidades de gestión de usuarios a CasaOS. A partir de la versión 0.4.4.3 y anteriores a la versión 0.4.7, CasaOS no defiende contra ataques de fuerza bruta a contraseñas, lo que lleva a tener acceso completo al servidor. La aplicación web carece de control sobre los intentos de inicio de sesión. Esta vulnerabilidad permite a los atacantes obtener acceso a nivel de superusuario al servidor. La versión 0.4.7 contiene un parche para este problema.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/04/2025

Vulnerabilidad en Jenkins iceScrum (CVE-2024-28160)

Fecha de publicación:
06/03/2024
Idioma:
Español
El complemento Jenkins iceScrum 1.1.6 y versiones anteriores no sanitiza las URL del proyecto iceScrum en las vistas de compilación, lo que genera una vulnerabilidad de Cross-Site Scripting (XSS) almacenadas que pueden explotar los atacantes capaces de configurar trabajos.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/05/2025

Vulnerabilidad en Jenkins Delphix Plugin (CVE-2024-28161)

Fecha de publicación:
06/03/2024
Idioma:
Español
En Jenkins Delphix Plugin 3.0.1, una opción global para que los administradores habiliten o deshabiliten la validación de certificados SSL/TLS para conexiones de Data Control Tower (DCT) está deshabilitada de forma predeterminada.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/05/2025

Vulnerabilidad en Jenkins Delphix Plugin (CVE-2024-28162)

Fecha de publicación:
06/03/2024
Idioma:
Español
En Jenkins Delphix Plugin 3.0.1 a 3.1.0 (ambos inclusive), una opción global para que los administradores habiliten o deshabiliten la validación de certificados SSL/TLS para conexiones de la Torre de control de datos (DCT) no surte efecto hasta que se reinicia al cambiar de validación deshabilitada a validación habilitada.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/05/2025

Vulnerabilidad en JetBrains TeamCity (CVE-2024-28173)

Fecha de publicación:
06/03/2024
Idioma:
Español
En JetBrains TeamCity entre 2023.11 y 2023.11.4 se podrían revelar parámetros de compilación personalizados del tipo "contraseña"
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/12/2024

Vulnerabilidad en JetBrains TeamCity (CVE-2024-28174)

Fecha de publicación:
06/03/2024
Idioma:
Español
En JetBrains TeamCity antes de 2023.11.4, las solicitudes de generación de URL prefirmadas en el complemento S3 Artifact Storage no se autorizaban correctamente
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/12/2024

Vulnerabilidad en Jenkins (CVE-2024-2215)

Fecha de publicación:
06/03/2024
Idioma:
Español
Una vulnerabilidad de falsificación de solicitud entre sitios (CSRF) en el complemento Docker-build-step de Jenkins 2.11 y versiones anteriores permite a los atacantes conectarse a una URL de socket TCP o Unix especificada por el atacante y reconfigurar el complemento utilizando los parámetros de prueba de conexión proporcionados, afectando las futuras ejecuciones de pasos de construcción.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/09/2025