Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en IBM InfoSphere DataStage 11.7 (CVE-2022-40752)

Fecha de publicación:
16/11/2022
Idioma:
Español
IBM InfoSphere DataStage 11.7 es vulnerable a una vulnerabilidad de inyección de comandos debido a una neutralización inadecuada de elementos especiales. ID de IBM X-Force: 236687.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
23/07/2025

Vulnerabilidad en BACKCLICK Professional 5.9.63 (CVE-2022-44007)

Fecha de publicación:
16/11/2022
Idioma:
Español
Se descubrió un problema en BACKCLICK Professional 5.9.63. Debido a una implementación insegura del seguimiento de sesiones, es posible que un atacante engañe a los usuarios para que abran una sesión de usuario autenticado para un identificador de sesión conocido por el atacante, también conocido como Session Fixation.
Gravedad CVSS v3.1: ALTA
Última modificación:
29/04/2025

Vulnerabilidad en BACKCLICK Professional 5.9.63 (CVE-2022-44008)

Fecha de publicación:
16/11/2022
Idioma:
Español
Se descubrió un problema en BACKCLICK Professional 5.9.63. Debido a una validación incorrecta, se pueden recuperar archivos locales arbitrarios accediendo directamente al servidor back-end Tomcat.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/04/2025

Vulnerabilidad en BACKCLICK Professional 5.9.63 (CVE-2022-43999)

Fecha de publicación:
16/11/2022
Idioma:
Español
Se descubrió un problema en BACKCLICK Professional 5.9.63. Debido a los servicios de gestión CORBA expuestos, se pueden ejecutar comandos arbitrarios del sistema en el servidor.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/04/2025

Vulnerabilidad en FreeRDP (CVE-2022-39317)

Fecha de publicación:
16/11/2022
Idioma:
Español
FreeRDP es una librería y clientes de protocolos de escritorio remoto gratuitos. A las versiones afectadas de FreeRDP les falta una verificación de rango para el índice de compensación de entrada en el decodificador ZGFX. Un servidor malicioso puede engañar a un cliente basado en FreeRDP para que lea datos no vinculados e intente decodificarlos. Este problema se solucionó en la versión 2.9.0. No se conocen soluciones para este problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/01/2024

Vulnerabilidad en FreeRDP (CVE-2022-39318)

Fecha de publicación:
16/11/2022
Idioma:
Español
FreeRDP es una librería y clientes de protocolos de escritorio remoto gratuitos. A las versiones afectadas de FreeRDP les falta validación de entrada en el canal `urbdrc`. Un servidor malicioso puede engañar a un cliente basado en FreeRDP para que falle con la división por cero. Este problema se solucionó en la versión 2.9.0. Se recomienda a todos los usuarios que actualicen. Los usuarios que no puedan actualizar no deben usar el interruptor de redirección `/usb`.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/01/2024

Vulnerabilidad en FreeRDP (CVE-2022-39319)

Fecha de publicación:
16/11/2022
Idioma:
Español
FreeRDP es una librería y clientes de protocolos de escritorio remoto gratuitos. A las versiones afectadas de FreeRDP les falta la validación de la longitud de entrada en el canal `urbdrc`. Un servidor malicioso puede engañar a un cliente basado en FreeRDP para que lea datos fuera de enlace y los envíe de regreso al servidor. Este problema se solucionó en la versión 2.9.0 y se recomienda a todos los usuarios que actualicen. Los usuarios que no puedan actualizar no deben usar el interruptor de redirección `/usb`.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/01/2024

Vulnerabilidad en FreeRDP (CVE-2022-39316)

Fecha de publicación:
16/11/2022
Idioma:
Español
FreeRDP es una librería de protocolos de escritorio remoto gratuitos y clientes. En las versiones afectadas hay una lectura fuera de límites en el componente decodificador ZGFX de FreeRDP. Un servidor malicioso puede engañar a un cliente basado en FreeRDP para que lea datos fuera de enlace e intente decodificarlos, lo que probablemente provoque un bloqueo. Este problema se solucionó en la versión 2.9.0. Se recomienda a los usuarios que actualicen.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/01/2024

Vulnerabilidad en FreeRDP (CVE-2022-39320)

Fecha de publicación:
16/11/2022
Idioma:
Español
FreeRDP es una librería de protocolos de escritorio remoto gratuitos y clientes. Las versiones afectadas de FreeRDP pueden intentar sumar números enteros en tipos demasiado estrechos, lo que lleva a la asignación de un búfer demasiado pequeño que contiene los datos escritos. Un servidor malicioso puede engañar a un cliente basado en FreeRDP para que lea datos fuera de enlace y los envíe de vuelta al servidor. Este problema se solucionó en la versión 2.9.0 y se recomienda a todos los usuarios que actualicen. Los usuarios que no puedan actualizar no deben usar el interruptor de redirección `/usb`.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/01/2024

Vulnerabilidad en FreeRDP (CVE-2022-39347)

Fecha de publicación:
16/11/2022
Idioma:
Español
FreeRDP es una librería y clientes de protocolos de escritorio remoto gratuitos. A las versiones afectadas de FreeRDP les falta la canonicalización de ruta y la verificación de ruta base para el canal `drive`. Un servidor malicioso puede engañar a un cliente basado en FreeRDP para que lea archivos fuera del directorio compartido. Este problema se solucionó en la versión 2.9.0 y se recomienda a todos los usuarios que actualicen. Los usuarios que no puedan actualizar no deben usar el interruptor de redirección `/drive`, `/drives` o `+home-drive`.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/01/2024

Vulnerabilidad en KubeVela (CVE-2022-39383)

Fecha de publicación:
16/11/2022
Idioma:
Español
KubeVela es una plataforma de entrega de aplicaciones de código abierto. Los usuarios que utilizan VelaUX APIServer podrían verse afectados por esta vulnerabilidad. Cuando se utiliza Helm Chart como método de entrega de componentes, la dirección de solicitud del almacén no está restringida y existe una vulnerabilidad SSRF ciega. Los usuarios que utilicen la versión 1.6 deben actualizar la versión 1.6.1. Los usuarios que utilizan la versión 1.5 deben actualizar la versión 1.5.8. No se conocen workarounds para este problema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/11/2022

Vulnerabilidad en Zulip Server (CVE-2022-41914)

Fecha de publicación:
16/11/2022
Idioma:
Español
Zulip es una herramienta de colaboración en equipo de código abierto. Para las organizaciones con System para Cross-domain Identity Management (SCIM) habilitada, Zulip Server 5.0 a 5.6 verificó el token de portador SCIM usando un comparador que no se ejecutaba en tiempo constante. Por lo tanto, en teoría, un atacante podría inferir el valor del token realizando un sofisticado análisis de tiempo en una gran cantidad de solicitudes fallidas. Si tiene éxito, esto permitiría al atacante hacerse pasar por el cliente SCIM por su capacidad para leer y actualizar cuentas de usuario en la organización Zulip. Las organizaciones donde no se ha habilitado la administración de cuentas SCIM no se ven afectadas.
Gravedad CVSS v3.1: BAJA
Última modificación:
21/11/2022