Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Yarn (CVE-2021-4435)

Fecha de publicación:

04/02/2024

Idioma:

Español

Se encontró una vulnerabilidad de ruta de búsqueda no confiable en Yarn. Cuando una víctima ejecuta ciertos comandos de Yarn en un directorio con contenido controlado por un atacante, se podrían ejecutar comandos maliciosos de formas inesperadas.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/02/2024

Vulnerabilidad en Artifex Ghostscript (CVE-2020-36773)

Fecha de publicación:

04/02/2024

Idioma:

Español

Artifex Ghostscript anterior a 9.53.0 tiene una escritura y un use-after-free fuera de los límites en devices/vector/gdevtxtw.c (para txtwrite) porque un código de un solo carácter en un documento PDF se puede asignar a más de un punto de código Unicode. (por ejemplo, para una ligadura).

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

22/05/2025

Vulnerabilidad en credit-protocol (CVE-2018-25098)

Fecha de publicación:

04/02/2024

Idioma:

Español

NO SOPORTADO CUANDO ASIGNADO Se encontró una vulnerabilidad en blockmason credit-protocol. Ha sido declarada como problemática. Afectada por esta vulnerabilidad es la función executeUcacTx del archivo contracts/CreditProtocol.sol del componente UCAC Gestor. La manipulación conduce a denegación de servicio. Este producto no utiliza versionado. Por esta razón, la información sobre las versiones afectadas y no afectadas no está disponible. El parche se llama 082e01f18707ef995e80ebe97fcedb229a55efc5. Se recomienda aplicar un parche para solucionar este problema. El identificador asociado de esta vulnerabilidad es VDB-252799. NOTA: Esta vulnerabilidad solo afecta a productos que ya no son soportados por el mantenedor.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/11/2024

Vulnerabilidad en libxml2 (CVE-2024-25062)

Fecha de publicación:

04/02/2024

Idioma:

Español

Se descubrió un problema en libxml2 anterior a 2.11.7 y 2.12.x anterior a 2.12.5. Cuando se utiliza la interfaz del Lector XML con la validación DTD y la expansión XInclude habilitada, el procesamiento de documentos XML manipulados puede generar un use-after-free de xmlValidatePopElement.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

Vulnerabilidad en kernel de Linux (CVE-2023-6240)

Fecha de publicación:

04/02/2024

Idioma:

Español

Se encontró una fuga de canal lateral de vulnerabilidad de Marvin en la operación de descifrado RSA en el kernel de Linux. Este problema puede permitir que un atacante de red descifre textos cifrados o falsifique firmas, limitando los servicios que utilizan esa clave privada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/09/2024

Vulnerabilidad en Intranet del Monterroso (CVE-2019-25159)

Fecha de publicación:

04/02/2024

Idioma:

Español

Se encontró una vulnerabilidad en mpedraza2020 Intranet del Monterroso hasta la versión 4.50.0. Ha sido clasificada como crítica. Esto afecta una parte desconocida del archivo config/cargos.php. La manipulación del argumento dni_profe lleva a una inyección SQL. La actualización a la versión 4.51.0 puede solucionar este problema. El identificador del parche es 678190bee1dfd64b54a2b0e88abfd009e78adce8. Se recomienda actualizar el componente afectado. El identificador VDB-252717 fue asignado a esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/11/2024

Vulnerabilidad en planet-freo (CVE-2015-10129)

Fecha de publicación:

04/02/2024

Idioma:

Español

Una vulnerabilidad fue encontrada en planet-freo hasta 20150116 y clasificada como problemática. Una función desconocida del archivo admin/inc/auth.inc.php es afectada por esta vulnerabilidad. La manipulación del argumento auth conduce a una comparación incorrecta. El ataque puede lanzarse de forma remota. La complejidad de un ataque es bastante alta. Se sabe que la explotación es difícil. El exploit ha sido divulgado al público y puede utilizarse. Este producto utiliza un lanzamiento continuo para proporcionar una entrega continua. Por lo tanto, no hay detalles disponibles para las versiones afectadas ni actualizadas. El nombre del parche es 6ad38c58a45642eb8c7844e2f272ef199f59550d. Se recomienda aplicar un parche para solucionar este problema. El identificador de esta vulnerabilidad es VDB-252716.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/06/2024

Vulnerabilidad en IBM Business Automation Workflow (CVE-2023-50947)

Fecha de publicación:

04/02/2024

Idioma:

Español

IBM Business Automation Workflow 22.0.2, 23.0.1 y 23.0.2 es vulnerable a Cross-Site Scripting. Esta vulnerabilidad permite a los usuarios incrustar código JavaScript arbitrario en la interfaz de usuario web, alterando así la funcionalidad prevista, lo que podría conducir a la divulgación de credenciales dentro de una sesión confiable. ID de IBM X-Force: 275665.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/02/2024

Vulnerabilidad en IBM PowerVM Hypervisor (CVE-2023-33851)

Fecha de publicación:

04/02/2024

Idioma:

Español

IBM PowerVM Hypervisor FW950.00 a FW950.90, FW1020.00 a FW1020.40 y FW1030.00 a FW1030.30 podrían revelar datos de partición confidenciales a un administrador del sistema. ID de IBM X-Force: 257135.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/02/2024

Vulnerabilidad en SourceCodester CRUD sin Page Reload 1.0 (CVE-2024-1215)

Fecha de publicación:

03/02/2024

Idioma:

Español

Se encontró una vulnerabilidad en SourceCodester CRUD sin Page Reload 1.0. Ha sido calificada como problemática. Una función desconocida del archivo fetch_data.php es afectada por esta vulnerabilidad. La manipulación del argumento nombre de usuario/ciudad conduce a Cross-Site Scripting. El ataque puede lanzarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-252782 es el identificador asignado a esta vulnerabilidad.

Gravedad CVSS v3.1: BAJA

Última modificación:

30/12/2025

Vulnerabilidad en curl (CVE-2024-0853)

Fecha de publicación:

03/02/2024

Idioma:

Español

curl inadvertidamente mantuvo el ID de sesión SSL para las conexiones en su caché incluso cuando falló la prueba de verificación del estado (*OCSP stapling*). Una transferencia posterior al mismo nombre de host podría tener éxito si la caché de ID de sesión aún estuviera actualizada, lo que luego omitiría la verificación de estado de verificación.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/06/2025

Vulnerabilidad en Jinja en Logpoint SIEM (CVE-2023-49950)

Fecha de publicación:

03/02/2024

Idioma:

Español

La plantilla de Jinja en Logpoint SIEM 6.10.0 a 7.x anterior a 7.3.0 no sanitiza correctamente los datos de registro que se muestran cuando se utiliza una plantilla de Jinja personalizada en la vista de alerta. Un atacante remoto puede crear un payload de Cross-Site Scripting (XSS) y enviarla a cualquier sistema o dispositivo que envíe registros al SIEM. Si se crea una alerta, el payload se ejecutará cuando los datos de la alerta se vean con esa plantilla, lo que puede dar lugar a la divulgación de datos confidenciales.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/06/2025

Suscribirse a Vulnerabilidades