Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en El complemento de WordPress WP Editor (CVE-2021-24151)

Fecha de publicación:

16/01/2024

Idioma:

Español

El complemento de WordPress WP Editor anterior a 1.2.7 no sanitizó ni validó sus campos de configuración, lo que provocó un problema de inyección ciega de SQL autenticado (admin+) a través de un parámetro arbitrario al realizar una solicitud para guardar la configuración.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/06/2025

Vulnerabilidad en El complemento de WordPress Advanced AJAX Product Filters (CVE-2021-24432)

Fecha de publicación:

16/01/2024

Idioma:

Español

El complemento de WordPress Advanced AJAX Product Filters no sanitiza el parámetro POST &#39;term_id&#39; antes de mostrarlo en la página, lo que genera un problema de cross site scripting reflejado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/06/2025

Vulnerabilidad en El complemento de WordPress simple sort&amp;search (CVE-2021-24433)

Fecha de publicación:

16/01/2024

Idioma:

Español

El complemento de WordPress simple sort&amp;search hasta la versión 0.0.3 no garantiza que el parámetro indexurl de los códigos cortos "category_sims", "order_sims", "orderby_sims", "period_sims" y "tag_sims" utilicen protocolos de URL permitidos, lo que puede conducir a cross site scripting almacenado por parte de usuarios con un rol tan bajo como Colaborador

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/06/2025

Vulnerabilidad en El complemento Qyrr WordPress (CVE-2021-24559)

Fecha de publicación:

16/01/2024

Idioma:

Español

El complemento Qyrr WordPress anterior a 0.7 no escapa del uri de datos del código QR cuando lo genera en un atributo src, lo que permite ataques de cross site scripting. Además, la acción data_uri_to_meta AJAX, disponible para todos los usuarios autenticados, solo tenía una verificación CSRF implementada, y el nonce disponible para usuarios con un rol tan bajo como Colaborador permite que cualquier usuario con dicho rol (y superior) establezca un dato malicioso. uri en publicaciones de códigos QR arbitrarios, lo que genera un problema de cross site scripting almacenado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/06/2025

Vulnerabilidad en Totolink LR1200GB 9.1.0u.6619_B20230130 (CVE-2024-0574)

Fecha de publicación:

16/01/2024

Idioma:

Español

Una vulnerabilidad fue encontrada en Totolink LR1200GB 9.1.0u.6619_B20230130 y clasificada como crítica. La función setParentalRules del archivo /cgi-bin/cstecgi.cgi es afectada por esta vulnerabilidad. La manipulación del argumento sTime provoca un desbordamiento de búfer en la región stack de la memoria . El ataque puede lanzarse de forma remota. La explotación ha sido divulgada al público y puede utilizarse. VDB-250790 es el identificador asignado a esta vulnerabilidad. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/05/2024

Vulnerabilidad en Totolink LR1200GB 9.1.0u.6619_B20230130 (CVE-2024-0575)

Fecha de publicación:

16/01/2024

Idioma:

Español

Se encontró una vulnerabilidad en Totolink LR1200GB 9.1.0u.6619_B20230130. Ha sido clasificada como crítica. Esto afecta a la función setTracerouteCfg del archivo /cgi-bin/cstecgi.cgi. La manipulación del argumento command conduce a un desbordamiento de búfer en la región stack de la memoria. Es posible iniciar el ataque de forma remota. La explotación ha sido divulgada al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-250791. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/05/2024

Vulnerabilidad en kernel de Linux (CVE-2024-0582)

Fecha de publicación:

16/01/2024

Idioma:

Español

Se encontró un fallo de pérdida de memoria en la funcionalidad io_uring del kernel de Linux en cómo un usuario registra un anillo de búfer con IORING_REGISTER_PBUF_RING, mmap() y luego lo libera. este fallo permite que un usuario local falle o potencialmente aumente sus privilegios en el sistema.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/09/2024

Vulnerabilidad en PCMan FTP Server 2.0.7 (CVE-2021-4432)

Fecha de publicación:

16/01/2024

Idioma:

Español

Se encontró una vulnerabilidad en PCMan FTP Server 2.0.7. Ha sido clasificada como problemática. Una parte desconocida del componente USER Command Handler es afectada. La manipulación conduce a la denegación del servicio. Es posible iniciar el ataque de forma remota. La explotación ha sido divulgada al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-250719.

Gravedad CVSS v3.1: ALTA

Última modificación:

17/05/2024

Vulnerabilidad en Mock (CVE-2023-6395)

Fecha de publicación:

16/01/2024

Idioma:

Español

El software Mock contiene una vulnerabilidad en la que un atacante podría explotar la escalada de privilegios, permitiendo la ejecución de código arbitrario con privilegios de usuario root. Esta debilidad se debe a la ausencia de una sandbox adecuada durante la expansión y ejecución de las plantillas de Jinja2, que pueden incluirse en ciertos parámetros de configuración. Si bien la documentación de Mock recomienda tratar a los usuarios agregados al grupo simulado como privilegiados, ciertos sistemas de compilación que invocan simulacros en nombre de los usuarios podrían permitir sin darse cuenta que usuarios con menos privilegios definan etiquetas de configuración. Luego, estas etiquetas podrían pasarse como parámetros para simular durante la ejecución, lo que podría llevar a la utilización de plantillas Jinja2 para la escalada remota de privilegios y la ejecución de código arbitrario como usuario raíz en el servidor de compilación.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

25/10/2024

Vulnerabilidad en Totolink LR1200GB 9.1.0u.6619_B20230130 (CVE-2024-0573)

Fecha de publicación:

16/01/2024

Idioma:

Español

Una vulnerabilidad ha sido encontrada en Totolink LR1200GB 9.1.0u.6619_B20230130 y clasificada como crítica. La función setDiagnosisCfg del archivo /cgi-bin/cstecgi.cgi es afectada por esta vulnerabilidad. La manipulación del argumento ip conduce a un desbordamiento de búfer en la región stack de la memoria . El ataque se puede lanzar de forma remota. La explotación ha sido divulgada al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-250789. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/05/2024

Vulnerabilidad en Totolink LR1200GB 9.1.0u.6619_B20230130 (CVE-2024-0572)

Fecha de publicación:

16/01/2024

Idioma:

Español

Una vulnerabilidad fue encontrada en Totolink LR1200GB 9.1.0u.6619_B20230130 y clasificada como crítica. La función setOpModeCfg del fichero /cgi-bin/cstecgi.cgi es afectada por la vulnerabilidad. La manipulación del argumento pppoeUser provoca un desbordamiento de búfer en la región stack de la memoria. Es posible lanzar el ataque de forma remota. La explotación ha sido divulgada al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-250788. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/05/2024

Vulnerabilidad en Sandsprite Scdbg.exe 1.0 (CVE-2024-0581)

Fecha de publicación:

16/01/2024

Idioma:

Español

Se ha encontrado una vulnerabilidad de consumo de recursos incontrolado en Sandsprite Scdbg.exe, que afecta a la versión 1.0. Esta vulnerabilidad permite a un atacante enviar un payload de shellcode especialmente manipulado al parámetro &#39;/foff&#39; y provocar el cierre de la aplicación. Un programa de malware podría utilizar esta secuencia de shellcode para cerrar la aplicación y evadir el análisis.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/01/2024