Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Subrion CMS 4.2.1 (CVE-2024-25400)

Fecha de publicación:

27/02/2024

Idioma:

Español

Subrion CMS 4.2.1 es vulnerable a la inyección SQL a través de ia.core.mysqli.php.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/05/2025

Vulnerabilidad en Rails (CVE-2024-26142)

Fecha de publicación:

27/02/2024

Idioma:

Español

Rails es un framework de aplicación web. A partir de la versión 7.1.0, existe una posible vulnerabilidad ReDoS en las rutinas de análisis del encabezado Aceptar de Action Dispatch. Esta vulnerabilidad está parcheada en 7.1.3.1. Ruby 3.2 tiene mitigaciones para este problema, por lo que las aplicaciones Rails que usan Ruby 3.2 o posterior no se ven afectadas.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/02/2025

Vulnerabilidad en Rails (CVE-2024-26143)

Fecha de publicación:

27/02/2024

Idioma:

Español

Rails es un framework de aplicación web. Existe una posible vulnerabilidad XSS al utilizar los ayudantes de traducción en Action Controller. Las aplicaciones que utilizan métodos de traducción como traducir o t en un controlador, con una clave que termina en "_html", una clave :default que contiene entradas de usuario que no son de confianza y la cadena resultante se usa en una vista, pueden ser susceptibles a una vulnerabilidad XSS. La vulnerabilidad se solucionó en 7.1.3.1 y 7.0.8.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/02/2025

Vulnerabilidad en Active Storage (CVE-2024-26144)

Fecha de publicación:

27/02/2024

Idioma:

Español

Rails es un framework de aplicación web. A partir de la versión 5.2.0, existe una posible fuga de información confidencial de la sesión en Active Storage. De forma predeterminada, Active Storage envía un encabezado Set-Cookie junto con la cookie de sesión del usuario cuando sirve blobs. También configura Cache-Control como público. Ciertos servidores proxy pueden almacenar en caché la Set-Cookie, lo que provoca una fuga de información. La vulnerabilidad se solucionó en 7.0.8.1 y 6.1.7.7.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/02/2025

Vulnerabilidad en OpenEdge Authentication Gateway y AdminServer (CVE-2024-1403)

Fecha de publicación:

27/02/2024

Idioma:

Español

En OpenEdge Authentication Gateway y AdminServer anteriores a 11.7.19, 12.2.14, 12.8.1 en todas las plataformas compatibles con el producto OpenEdge, se identificó una vulnerabilidad de omisión de autenticación. La vulnerabilidad es una omisión de la autenticación basada en una falla al manejar adecuadamente el nombre de usuario y la contraseña. Cierto contenido inesperado que se pasa a las credenciales puede provocar un acceso no autorizado sin la autenticación adecuada.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/02/2025

Vulnerabilidad en SourceCodester Online Job Portal 1.0 (CVE-2024-1922)

Fecha de publicación:

27/02/2024

Idioma:

Español

Una vulnerabilidad fue encontrada en SourceCodester Online Job Portal 1.0 y clasificada como problemática. Una función desconocida del archivo /Employer/ManageJob.php del componente Manage Job Page es afectada por esta vulnerabilidad. La manipulación del argumento Calificación/Descripción conduce a cross-site scripting. El ataque se puede lanzar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-254857.

Gravedad CVSS v3.1: BAJA

Última modificación:

18/12/2024

CVE-2023-5947

Fecha de publicación:

27/02/2024

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: ** REJECT ** DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: CVE-2023-7247. Reason: This candidate is a duplicate of CVE-2023-7247. Notes: All CVE users should reference CVE-2023-7247 instead of this candidate. All references and descriptions in this candidate have been removed to prevent accidental usage.

Gravedad: Pendiente de análisis

Última modificación:

27/02/2024

CVE-2024-1423

Fecha de publicación:

27/02/2024

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: Accidental Request

Gravedad: Pendiente de análisis

Última modificación:

27/02/2024

Vulnerabilidad en osuuu LightPicture (CVE-2024-1921)

Fecha de publicación:

27/02/2024

Idioma:

Español

Una vulnerabilidad fue encontrada en osuuu LightPicture hasta 1.2.2 y clasificada como crítica. Una función desconocida del archivo /app/controller/Setup.php es afectada por esta vulnerabilidad. La manipulación conduce a una carga sin restricciones. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-254856.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/12/2024

Vulnerabilidad en Apache Aurora (CVE-2024-27905)

Fecha de publicación:

27/02/2024

Idioma:

Español

** NO SOPORTADO CUANDO ESTÁ ASIGNADO ** Exposición de información confidencial a una vulnerabilidad de actor no autorizado en Apache Aurora. Un endpoint que expone elementos internos a usuarios no autenticados se puede utilizar como un "oráculo de relleno" que permite a un atacante anónimo construir una cookie de autenticación válida. Potencialmente, esto podría combinarse con vulnerabilidades en otros componentes para lograr la ejecución remota de código. Como este proyecto está retirado, no planeamos lanzar una versión que solucione este problema. Se recomienda a los usuarios que busquen una alternativa o restrinjan el acceso a la instancia a usuarios confiables. NOTA: Esta vulnerabilidad solo afecta a productos que ya no son compatibles con el fabricante.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/07/2025

Vulnerabilidad en ZenML Server (CVE-2024-25723)

Fecha de publicación:

27/02/2024

Idioma:

Español

ZenML Server en el paquete de aprendizaje automático ZenML anterior a 0.46.7 para Python permite la escalada remota de privilegios porque el endpoint de la API REST /api/v1/users/{user_name_or_id}/activate permite el acceso basándose en un nombre de usuario válido junto con una nueva contraseña en el cuerpo de la solicitud. Estas también son versiones parcheadas: 0.44.4, 0.43.1 y 0.42.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/05/2025