Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Microsoft Corporation (CVE-2024-29049)

Fecha de publicación:

04/04/2024

Idioma:

Español

Vulnerabilidad de suplantación de identidad de Webview2 en Microsoft Edge (basado en Chromium)

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/01/2025

Vulnerabilidad en SourceCodester Computer Laboratory Management System 1.0 (CVE-2024-3314)

Fecha de publicación:

04/04/2024

Idioma:

Español

Una vulnerabilidad fue encontrada en SourceCodester Computer Laboratory Management System 1.0 y clasificada como crítica. Este problema afecta un procesamiento desconocido del archivo /classes/Users.php. La manipulación conduce a la inyección de SQL. El ataque puede iniciarse de forma remota. A esta vulnerabilidad se le asignó el identificador VDB-259385.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/01/2025

Vulnerabilidad en SourceCodester Computer Laboratory Management System 1.0 (CVE-2024-3315)

Fecha de publicación:

04/04/2024

Idioma:

Español

Se encontró una vulnerabilidad en SourceCodester Computer Laboratory Management System 1.0. Ha sido clasificada como crítica. Una función desconocida del archivo class/user.php es afectada por esta vulnerabilidad. La manipulación del argumento id conduce a la inyección de SQL. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-259386 es el identificador asignado a esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/01/2025

Vulnerabilidad en mailcow: dockerized (CVE-2024-30270)

Fecha de publicación:

04/04/2024

Idioma:

Español

mailcow: dockerized es un software colaborativo/paquete de correo electrónico de código abierto basado en Docker. Se ha identificado una vulnerabilidad de seguridad en mailcow que afecta a versiones anteriores a 2024-04. Esta vulnerabilidad es una combinación de path traversal y ejecución de código arbitrario, específicamente dirigida a la función `rspamd_maps()`. Permite a los usuarios administradores autenticados sobrescribir cualquier archivo en el que pueda escribir el usuario www-data aprovechando la validación de ruta incorrecta. La cadena de exploits puede conducir a la ejecución de comandos arbitrarios en el servidor. La versión 2024-04 contiene un parche para el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/10/2025

Vulnerabilidad en mailcow: dockerized (CVE-2024-31204)

Fecha de publicación:

04/04/2024

Idioma:

Español

mailcow: dockerized es un software colaborativo/paquete de correo electrónico de código abierto basado en Docker. Se ha identificado una vulnerabilidad de seguridad en mailcow que afecta a versiones anteriores a 2024-04. Esta vulnerabilidad reside en el mecanismo de manejo de excepciones, específicamente cuando no se opera en DEV_MODE. El sistema guarda los detalles de la excepción en una matriz de sesiones sin una desinfección o codificación adecuada. Estos detalles luego se representan en HTML y se ejecutan en un bloque de JavaScript dentro del navegador del usuario, sin un escape adecuado de las entidades HTML. Esta falla permite ataques de Cross-Site Scripting (XSS), donde los atacantes pueden inyectar scripts maliciosos en el panel de administración activando excepciones con entradas controladas. El método de explotación implica el uso de cualquier función que pueda generar una excepción con un argumento controlable por el usuario. Este problema puede provocar secuestro de sesión y acciones administrativas no autorizadas, lo que supone un riesgo de seguridad importante. La versión 2024-04 contiene una solución para el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/10/2025

Vulnerabilidad en Dreamer CMS (CVE-2024-3311)

Fecha de publicación:

04/04/2024

Idioma:

Español

Se encontró una vulnerabilidad en Dreamer CMS hasta 4.1.3.0. Ha sido declarada crítica. La función ZipUtils.unZipFiles del archivo controlador/admin/ThemesController.java es afectada por esta vulnerabilidad. La manipulación conduce al path traversal. El ataque se puede lanzar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. La actualización a la versión 4.1.3.1 puede solucionar este problema. Se recomienda actualizar el componente afectado. A esta vulnerabilidad se le asignó el identificador VDB-259369.

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/04/2025

Vulnerabilidad en Typebot (CVE-2024-30264)

Fecha de publicación:

04/04/2024

Idioma:

Español

Typebot es un creador de chatbots de código abierto. Un cross-site scripting (XSS) reflejado en la página de inicio de sesión de typebot.io antes de la versión 2.24.0 puede permitir que un atacante se apodere de la cuenta de un usuario. La página de inicio de sesión toma el parámetro `redirectPath` de la URL. Si un usuario hace clic en un enlace donde el parámetro `redirectPath` tiene un esquema javascript, el atacante que creó el enlace puede ejecutar JavaScript arbitrario con los privilegios del usuario. La versión 2.24.0 contiene un parche para este problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/01/2026

Vulnerabilidad en Go Project (CVE-2023-45288)

Fecha de publicación:

04/04/2024

Idioma:

Español

Un atacante puede hacer que un endpoint HTTP/2 lea cantidades arbitrarias de datos de encabezado enviando una cantidad excesiva de tramas de CONTINUACIÓN. Mantener el estado de HPACK requiere analizar y procesar todos los encabezados y tramas de CONTINUACIÓN en una conexión. Cuando los encabezados de una solicitud exceden MaxHeaderBytes, no se asigna memoria para almacenar los encabezados sobrantes, pero aún así se analizan. Esto permite a un atacante hacer que un endpoint HTTP/2 lea cantidades arbitrarias de datos de encabezado, todos asociados con una solicitud que será rechazada. Estos encabezados pueden incluir datos codificados por Huffman, cuya decodificación es significativamente más costosa para el receptor que para el atacante. La solución establece un límite en la cantidad de fotogramas de encabezado excedentes que procesaremos antes de cerrar una conexión.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en Ivanti Connect Secure e Ivanti Policy Secure (CVE-2024-22023)

Fecha de publicación:

04/04/2024

Idioma:

Español

Una expansión de entidad XML o vulnerabilidad XEE en el componente SAML de Ivanti Connect Secure (9.x, 22.x) e Ivanti Policy Secure permite que un atacante no autenticado envíe solicitudes XML especialmente manipuladas para causar temporalmente el agotamiento de los recursos, lo que resulta en una DoS por tiempo limitado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/10/2024

Vulnerabilidad en Ivanti Connect Secure e Ivanti Policy Secure (CVE-2024-22052)

Fecha de publicación:

04/04/2024

Idioma:

Español

Una vulnerabilidad de desreferencia de puntero nulo en el componente IPSec de Ivanti Connect Secure (9.x, 22.x) e Ivanti Policy Secure permite que un usuario malintencionado no autenticado envíe solicitudes especialmente manipuladas para bloquear el servicio, provocando así un ataque DoS.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/10/2024

Vulnerabilidad en Ivanti Connect Secure e Ivanti Policy Secure (CVE-2024-22053)

Fecha de publicación:

04/04/2024

Idioma:

Español

Una vulnerabilidad de desbordamiento de montón en el componente IPSec de Ivanti Connect Secure (9.x 22.x) e Ivanti Policy Secure permite que un usuario malintencionado no autenticado envíe solicitudes especialmente manipuladas para bloquear el servicio, provocando así un ataque DoS o en determinadas condiciones. leer contenidos de la memoria.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/10/2024

Vulnerabilidad en Apache (CVE-2024-24795)

Fecha de publicación:

04/04/2024

Idioma:

Español

La división de la respuesta HTTP en varios módulos en el servidor HTTP Apache permite que un atacante pueda inyectar encabezados de respuesta maliciosos en aplicaciones backend para provocar un ataque de desincronización HTTP. Se recomienda a los usuarios actualizar a la versión 2.4.59, que soluciona este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/06/2025

Suscribirse a Vulnerabilidades