Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Gessler GmbH WEB-MASTER (CVE-2024-1039)

Fecha de publicación:
01/02/2024
Idioma:
Español
Gessler GmbH WEB-MASTER tiene una cuenta de restauración que utiliza credenciales codificadas débiles y, si se explota, podría permitir a un atacante controlar la administración web del dispositivo.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/08/2025

Vulnerabilidad en Gessler GmbH WEB-MASTER (CVE-2024-1040)

Fecha de publicación:
01/02/2024
Idioma:
Español
La cuenta de usuario de Gessler GmbH WEB-MASTER se almacena mediante un algoritmo hash débil. El atacante puede restaurar las contraseñas rompiendo los hashes almacenados en el dispositivo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/08/2025

Vulnerabilidad en discourse (CVE-2024-24755)

Fecha de publicación:
01/02/2024
Idioma:
Español
discourse-group-membership-ip-block es un complemento de discourse que agrega soporte para agregar usuarios a grupos según su dirección IP. discourse-group-membership-ip-block estaba enviando todos los campos personalizados del grupo al cliente, incluidos los campos personalizados del grupo de otros complementos que pueden esperar que sus campos personalizados permanezcan en secreto.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/02/2024

Vulnerabilidad en Travel Journal (CVE-2024-24945)

Fecha de publicación:
01/02/2024
Idioma:
Español
Una vulnerabilidad de cross site scripting (XSS) almacenado en Travel Journal usando PHP y MySQL con código fuente v1.0 permite a los atacantes ejecutar scripts web arbitrarios o HTML a través de un payload manipulado inyectado en el parámetro Share Your Moments en /travel-journal/write -journal.php.
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/05/2025

Vulnerabilidad en Travel Journal (CVE-2024-24041)

Fecha de publicación:
01/02/2024
Idioma:
Español
Una vulnerabilidad de cross site scripting (XSS) almacenado en Travel Journal usando PHP y MySQL con código fuente v1.0 permite a los atacantes ejecutar scripts web arbitrarios o HTML a través de un payload manipulado inyectado en el parámetro de ubicación en /travel-journal/write-journal .php.
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/05/2025

Vulnerabilidad en Pixee Java Code Security Toolkit (CVE-2024-24569)

Fecha de publicación:
01/02/2024
Idioma:
Español
Pixee Java Code Security Toolkit es un conjunto de API de seguridad destinadas a ayudar a proteger el código Java. `ZipSecurity#isBelowCurrentDirectory` es vulnerable a una omisión de partial-path traversal. Para ser vulnerable a la omisión, la aplicación debe utilizar la versión del kit de herramientas <=1.1.1, utilizar ZipSecurity como protección contra el path traversal y tener una ruta de explotación. Aunque el control todavía protege a los atacantes de escapar de la ruta de la aplicación a directorios de nivel superior (por ejemplo, /etc/), permitirá "escapar" a rutas hermanas. Por ejemplo, si su ruta de ejecución es /my/app/path, un atacante podría navegar hasta /my/app/path-something-else. Esta vulnerabilidad está parcheada en 1.1.2.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/02/2024

Vulnerabilidad en Academy Software Foundation OpenEX (CVE-2023-5841)

Fecha de publicación:
01/02/2024
Idioma:
Español
Debido a un fallo en la validación del número de muestras de líneas de escaneo de un archivo OpenEXR que contiene datos de líneas de escaneo profundas, la librería de análisis de imágenes Academy Software Foundation OpenEX versión 3.2.1 y anteriores es susceptible a una vulnerabilidad de desbordamiento de búfer en la región Heap de la memoria.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/11/2025

Vulnerabilidad en GLPI (CVE-2023-51446)

Fecha de publicación:
01/02/2024
Idioma:
Español
GLPI es un paquete gratuito de software de gestión de TI y activos. Cuando la autenticación se realiza contra un LDAP, el formulario de autenticación se puede utilizar para realizar la inyección de LDAP. Actualice a 10.0.12.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/02/2024

Vulnerabilidad en SEW-EURODRIVE MOVITOOLS MotionStudio (CVE-2024-1167)

Fecha de publicación:
01/02/2024
Idioma:
Español
Cuando SEW-EURODRIVE MOVITOOLS MotionStudio procesa información XML, se puede acceder sin restricciones a los archivos.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/02/2024

Vulnerabilidad en GLPI (CVE-2024-23645)

Fecha de publicación:
01/02/2024
Idioma:
Español
GLPI es un paquete gratuito de software de gestión de TI y activos. Se puede utilizar una URL maliciosa para ejecutar XSS en páginas de informes. Actualice a 10.0.12.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/02/2024

Vulnerabilidad en Vyper (CVE-2024-24561)

Fecha de publicación:
01/02/2024
Idioma:
Español
Vyper es un lenguaje de contrato inteligente de python para la máquina virtual ethereum. En las versiones 0.3.10 y anteriores, la verificación de los límites para sectores no tiene en cuenta la capacidad de inicio + longitud de desbordarse cuando los valores no son literales. Si una función slice() utiliza un argumento no literal para la variable de inicio o longitud, esto crea la capacidad para que un atacante desborde la verificación de los límites. Este problema se puede utilizar para realizar acceso OOB a direcciones de almacenamiento, memoria o datos de llamada. También se puede utilizar para corromper la ranura de longitud de la matriz respectiva.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
09/02/2024

Vulnerabilidad en Statamic (CVE-2024-24570)

Fecha de publicación:
01/02/2024
Idioma:
Español
Statamic es un CMS impulsado por Laravel y Git. Los archivos HTML manipulados para que parezcan archivos jpg se pueden cargar, lo que permite XSS. Esto afecta a los formularios de front-end con campos de activos sin ninguna validación de tipo MIME, campos de activos en el panel de control y navegador de activos en el panel de control. Además, si el XSS está manipulado de una manera específica, la función "copy password reset link" puede aprovecharse para obtener acceso al token de restablecimiento de contraseña de un usuario y acceder a su cuenta. Se requiere que el usuario autorizado ejecute el XSS para que se produzca la vulnerabilidad. En las versiones 4.46.0 y 3.4.17, se parchó la vulnerabilidad XSS y se deshabilitó la función de copia del enlace de restablecimiento de contraseña.
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/02/2024