Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Zoom (CVE-2023-43583)

Fecha de publicación:

13/12/2023

Idioma:

Español

Los problemas criptográficos de la aplicación Zoom Mobile para Android, la aplicación Zoom Mobile para iOS y los SDK de Zoom para Android e iOS anteriores a la versión 5.16.0 pueden permitir que un usuario privilegiado realice una divulgación de información a través del acceso a la red.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/09/2024

Vulnerabilidad en Zoom Mobile y los SDK de Zoom para iOS (CVE-2023-43585)

Fecha de publicación:

13/12/2023

Idioma:

Español

Un control de acceso inadecuado en la aplicación Zoom Mobile para iOS y los SDK de Zoom para iOS anteriores a la versión 5.16.5 puede permitir que un usuario autenticado realice una divulgación de información a través del acceso a la red.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/09/2024

Vulnerabilidad en Zoom Desktop Client, Zoom VDI Client y Zoom SDK para Windows (CVE-2023-43586)

Fecha de publicación:

13/12/2023

Idioma:

Español

El path traversal en Zoom Desktop Client para Windows, Zoom VDI Client para Windows y Zoom SDK para Windows puede permitir que un usuario autenticado realice una escalada de privilegios a través del acceso a la red.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/12/2023

Vulnerabilidad en IBM AIX y VIOS (CVE-2023-45166)

Fecha de publicación:

13/12/2023

Idioma:

Español

IBM AIX 7.2, 7.3 y VIOS 3.1 podrían permitir que un usuario local sin privilegios aproveche una vulnerabilidad en el comando piodmgrsu para obtener privilegios elevados. ID de IBM X-Force: 267964.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/12/2023

Vulnerabilidad en Scrypted (CVE-2023-47620)

Fecha de publicación:

13/12/2023

Idioma:

Español

Scrypted es una plataforma de automatización e integración de vídeos domésticos. En las versiones 0.55.0 y anteriores, existe una vulnerabilidad de Cross-Site Scripting Reflejado en el archivo plugin-http.ts a través de los parámetros `owner&#39; y `pkg`. Un atacante puede ejecutar código JavaScript arbitrario. Al momento de la publicación, no hay parches conocidos disponibles.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/02/2024

Vulnerabilidad en Scrypted (CVE-2023-47623)

Fecha de publicación:

13/12/2023

Idioma:

Español

Scrypted es una plataforma de automatización e integración de vídeos domésticos. En las versiones 0.55.0 y anteriores, existe una vulnerabilidad de Cross-Site Scripting Reflejado en la página de inicio de sesión a través del parámetro `redirect_uri`. Al especificar una URL con el esquema javascript (`javascript:`), un atacante puede ejecutar código JavaScript arbitrario después de iniciar sesión. Al momento de la publicación, no hay parches conocidos disponibles.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/02/2024

Vulnerabilidad en Cube (CVE-2023-50709)

Fecha de publicación:

13/12/2023

Idioma:

Español

Cube es una capa semántica para crear aplicaciones de datos. Antes de la versión 0.34.34, era posible hacer que toda la API de Cube no estuviera disponible enviando una solicitud especialmente manipulada a un endpoint de la API de Cube. El problema se solucionó en `v0.34.34` y se recomienda que todos los usuarios que expongan las API de Cube a la Internet pública actualicen a la última versión para evitar interrupciones en el servicio. Actualmente no existe ninguna workaround para versiones anteriores y la recomendación es actualizarlas.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/12/2023

Vulnerabilidad en Dompdf (CVE-2023-50262)

Fecha de publicación:

13/12/2023

Idioma:

Español

Dompdf es un conversor de HTML a PDF para PHP. Al analizar imágenes SVG, Dompdf realiza una validación inicial para garantizar que las rutas dentro del SVG estén permitidas. Una de las validaciones es que el documento SVG no hace referencia a sí mismo. Sin embargo, antes de la versión 2.0.4, un encadenado recursivo que utiliza dos o más documentos SVG no se valida correctamente. Dependiendo de la configuración del sistema y del patrón de ataque, esto podría agotar la memoria disponible para el proceso en ejecución y/o para el propio servidor. php-svg-lib, cuando se ejecuta de forma aislada, no admite referencias SVG para elementos de "imagen". Sin embargo, cuando se usa en combinación con Dompdf, php-svg-lib procesará imágenes SVG a las que hace referencia un elemento `image`. Dompdf actualmente incluye validación para evitar referencias de "imagen" autorreferenciales, pero no se verifica una referencia encadenada. Por lo tanto, un actor malicioso puede desencadenar una recursividad infinita encadenando referencias entre dos o más imágenes SVG. Cuando Dompdf analiza un payload malicioso, se bloqueará después de exceder el tiempo de ejecución permitido o el uso de memoria. Un atacante que envía varias solicitudes a un sistema puede provocar el agotamiento de los recursos hasta el punto de que el sistema no pueda manejar las solicitudes entrantes. La versión 2.0.4 contiene una solución para este problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/12/2023

Vulnerabilidad en jq (CVE-2023-50268)

Fecha de publicación:

13/12/2023

Idioma:

Español

jq es un procesador JSON de línea de comandos. La versión 1.7 es vulnerable al desbordamiento del búfer basado en pila en compilaciones que utilizan decNumber. La versión 1.7.1 contiene un parche para este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/12/2023

Vulnerabilidad en ZED por PRIMX ZED! (CVE-2023-50439)

Fecha de publicación:

13/12/2023

Idioma:

Español

Contenedores ZED producidos por PRIMX ZED! para Windows anterior a Q.2020.3 (envío de calificación ANSSI), ZED! para Windows antes de Q.2021.2 (envío de calificación ANSSI), ZONECENTRAL para Windows antes de Q.2021.2 (envío de calificación ANSSI), ZONECENTRAL para Windows antes de 2023.5 o ZEDMAIL para Windows antes de 2023.5 divulgan la ruta original en la que se crearon los contenedores, lo que permite un atacante no autenticado para obtener información sobre el contexto de uso (nombre del proyecto, etc.).

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/12/2023

Vulnerabilidad en ZED por PRIMX ZED! (CVE-2023-50440)

Fecha de publicación:

13/12/2023

Idioma:

Español

Contenedores ZED producidos por PRIMX ZED! para Windows anteriores a Q.2020.3 (presentación de calificación ANSSI); ZED! para Windows anteriores a Q.2021.2 (presentación de calificación ANSSI); ZONECENTRAL para Windows antes de Q.2021.2 (presentación de calificación ANSSI); ZONECENTRAL para Windows antes de 2023.5; ZEDMAIL para Windows antes de 2023.5; ZED! para Windows, Mac, Linux antes de 2023.5; ZEDFREE para Windows, Mac, Linux antes de 2023.5; o ZEDPRO para Windows, Mac, Linux anterior a 2023.5 puede ser modificado por un atacante no autenticado para incluir una referencia UNC de modo que pueda activar el acceso a la red a una maquina controlada por el atacante cuando la víctima la abra.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/06/2025

Vulnerabilidad en PRIMX ZONECENTRAL (CVE-2023-50442)

Fecha de publicación:

13/12/2023

Idioma:

Español

Un atacante local (con los privilegios adecuados) puede modificar las carpetas cifradas creadas por PRIMX ZONECENTRAL hasta 2023.5 para que tipos de archivos específicos queden excluidos del cifrado temporalmente. (Sin embargo, esta modificación se puede detectar, como se describe en la Guía del administrador).

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/12/2023

Suscribirse a Vulnerabilidades