Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Project Worlds Visitor Management System 1.0 (CVE-2024-0650)

Fecha de publicación:
18/01/2024
Idioma:
Español
Se encontró una vulnerabilidad en Project Worlds Visitor Management System 1.0. Ha sido clasificada como problemática. Una función desconocida del archivo dataset.php del componente URL Handler es afectada por esta vulnerabilidad. La manipulación del argumento name con la entrada "> conduce a cross site scripting. Es posible lanzar el ataque de forma remota. La explotación se ha divulgado al público y puede ser utilizada. El identificador de esta vulnerabilidad es VDB-251376.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/01/2026

Vulnerabilidad en Yunyou CMS (CVE-2024-0648)

Fecha de publicación:
17/01/2024
Idioma:
Español
Una vulnerabilidad ha sido encontrada en Yunyou CMS hasta 2.2.6 y clasificada como crítica. Esta vulnerabilidad afecta a un código desconocido del archivo /app/index/controller/Common.php. La manipulación del argumento templateFile conduce a una carga sin restricciones. El ataque se puede iniciar de forma remota. La explotación ha sido divulgada al público y puede utilizarse. VDB-251374 es el identificador asignado a esta vulnerabilidad.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/05/2024

Vulnerabilidad en ZhiHuiYun (CVE-2024-0649)

Fecha de publicación:
17/01/2024
Idioma:
Español
Una vulnerabilidad fue encontrada en ZhiHuiYun hasta 4.4.13 y clasificada como crítica. Este problema afecta la función download_network_image del archivo /app/Http/Controllers/ImageController.php del componente Search. La manipulación del argumento URL conduce a server-side request forgery.. El ataque puede iniciarse de forma remota. La explotación ha sido divulgada al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-251375.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/05/2024

Vulnerabilidad en flaskBlog (CVE-2024-22414)

Fecha de publicación:
17/01/2024
Idioma:
Español
flaskBlog es una aplicación de blog sencilla creada con Flask. El almacenamiento y la representación inadecuados de la página `/user/` permiten que los comentarios de un usuario ejecuten código javascript arbitrario. La plantilla html `user.html` contiene el siguiente fragmento de código para representar los comentarios realizados por un usuario: `{{comment[2]|safe}}` . El uso de la etiqueta "safe" hace que flask _not_ escape del contenido renderizado. Para remediar esto, simplemente elimine la etiqueta `|safe` del HTML anterior. No hay ninguna solución disponible y se recomienda a los usuarios que editen manualmente su instalación.
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/01/2024

Vulnerabilidad en Citrix StoreFront (CVE-2023-5914)

Fecha de publicación:
17/01/2024
Idioma:
Español
Cross-site scripting (XSS)
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/01/2024

Vulnerabilidad en NetScaler ADC y NetScaler Gateway (CVE-2023-6549)

Fecha de publicación:
17/01/2024
Idioma:
Español
La restricción inadecuada de las operaciones dentro de los límites de un búfer de memoria en NetScaler ADC y NetScaler Gateway permite una denegación de servicio no autenticada
Gravedad CVSS v3.1: ALTA
Última modificación:
24/10/2025

Vulnerabilidad en Creditcoin (CVE-2024-22410)

Fecha de publicación:
17/01/2024
Idioma:
Español
Creditcoin es una red que permite transacciones de crédito entre blockchain. El binario de Windows del nodo Creditcoin carga un conjunto de archivos DLL proporcionados por Microsoft al inicio. Si un usuario malintencionado tiene acceso para sobrescribir el directorio de archivos del programa, es posible reemplazar estas DLL y ejecutar código arbitrario. La opinión del equipo de desarrollo de blockchain es que la amenaza que plantea un hipotético ataque de plantación binaria es mínima y representa un riesgo de baja seguridad. Los archivos DLL vulnerables provienen del subsistema de red de Windows, el runtime de Visual C++ y primitivas criptográficas de bajo nivel. En conjunto, estas dependencias son necesarias para un gran ecosistema de aplicaciones, que van desde aplicaciones de seguridad de nivel empresarial hasta motores de juegos, y no representan una falta fundamental de seguridad o supervisión en el diseño e implementación de Creditcoin. El equipo de blockchain adopta la postura de que ejecutar Creditcoin en Windows no es oficialmente compatible y, en el mejor de los casos, debería considerarse experimental.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/01/2024

Vulnerabilidad en Studio Network Solutions ShareBrowser (CVE-2023-44077)

Fecha de publicación:
17/01/2024
Idioma:
Español
Studio Network Solutions ShareBrowser anterior a 7.0 en macOS maneja mal la verificación de firmas, también conocido como PMP-2636.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/06/2025

Vulnerabilidad en Armex ABO.CMS 5.9 (CVE-2023-48858)

Fecha de publicación:
17/01/2024
Idioma:
Español
Una vulnerabilidad de Cross-site scripting (XSS) en el código PHP de la página de inicio de sesión en Armex ABO.CMS 5.9 permite a atacantes remotos inyectar scripts web o HTML de su elección a través de la parte de URL login.php?.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/06/2025

Vulnerabilidad en NetScaler ADC y NetScaler Gateway (CVE-2023-6548)

Fecha de publicación:
17/01/2024
Idioma:
Español
El control inadecuado de la generación de código ("inyección de código") en NetScaler ADC y NetScaler Gateway permite a un atacante con acceso a NSIP, CLIP o SNIP con interfaz de administración realizar una ejecución remota de código autenticado (con privilegios bajos) en Management Interface.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/10/2025

Vulnerabilidad en ThemeinProgress WIP Custom Login (CVE-2022-42884)

Fecha de publicación:
17/01/2024
Idioma:
Español
Vulnerabilidad de falta de autorización en ThemeinProgress WIP Custom Login. Este problema afecta a WIP Custom Login: desde n/a hasta 1.2.7.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/01/2024

Vulnerabilidad en Avaya Aura Experience Portal Manager (CVE-2023-7031)

Fecha de publicación:
17/01/2024
Idioma:
Español
Se descubrieron vulnerabilidades de referencia directa de objetos inseguros en Avaya Aura Experience Portal Manager que pueden permitir la divulgación parcial de información a un usuario autenticado sin privilegios. Las versiones afectadas incluyen 8.0.x y 8.1.x, anteriores al parche 0402 8.1.2. Las versiones anteriores a 8.0 finalizan el soporte del fabricante.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/01/2024