Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-34099

Fecha de publicación:
27/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** Shopware is an open source e-commerce software. The mail validation in the registration process had some flaws, so it was possible to construct different mail addresses, that in the end result in the same address, which is shared by multiple accounts. This issue has been addressed in version 5.7.18 and users are advised to update. There are no known workarounds for this vulnerability.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/07/2023

CVE-2023-34098

Fecha de publicación:
27/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** Shopware is an open source e-commerce software. Due to an incorrect configuration in the `.htaccess` file, the configuration file of the Javascript could be read in production environments (`themes/package-lock.json`). With this information, the specific Shopware version in a deployment might be determined by an attacker, which could be used for further attacks. Users are advised to update to version 5.7.18. There are no known workarounds for this vulnerability.<br />
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/07/2023

CVE-2023-3432

Fecha de publicación:
27/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** Server-Side Request Forgery (SSRF) in GitHub repository plantuml/plantuml prior to 1.2023.9.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
01/02/2024

CVE-2023-3431

Fecha de publicación:
27/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** Improper Access Control in GitHub repository plantuml/plantuml prior to 1.2023.9.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/02/2024

CVE-2023-3405

Fecha de publicación:
27/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** Unchecked parameter value in M-Files Server in versions before 23.6.12695.3 (excluding 23.2 SR2 and newer) allows anonymous user to cause denial of service
Gravedad CVSS v3.1: ALTA
Última modificación:
28/08/2024

CVE-2023-36002

Fecha de publicación:
27/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** A missing authorization check in multiple URL validation endpoints of the Insider Threat Management Server enables an anonymous attacker on an adjacent network to smuggle content via DNS lookups. All versions before 7.14.3 are affected.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/07/2023

CVE-2023-36000

Fecha de publicación:
27/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** A missing authorization check in the MacOS agent configuration endpoint of the Insider Threat Management Server enables an anonymous attacker on an adjacent network to obtain sensitive information. Successful exploitation requires an attacker to first obtain a valid agent authentication token. All versions before 7.14.3 are affected.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/07/2023

CVE-2023-2818

Fecha de publicación:
27/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** An insecure filesystem permission in the Insider Threat Management Agent for Windows enables local unprivileged users to disrupt agent monitoring. All versions prior to 7.14.3 are affected. Agents for MacOS and Linux and Cloud are unaffected.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/07/2023

CVE-2023-35998

Fecha de publicación:
27/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** A missing authorization check in multiple SOAP endpoints of the Insider Threat Management Server enables an attacker on an adjacent network to read and write unauthorized objects. Successful exploitation requires an attacker to first obtain a valid agent authentication token. All versions before 7.14.3 are affected.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/07/2023

CVE-2023-2996

Fecha de publicación:
27/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** The Jetpack WordPress plugin before 12.1.1 does not validate uploaded files, allowing users with author roles or above to manipulate existing files on the site, deleting arbitrary files, and in rare cases achieve Remote Code Execution via phar deserialization.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

CVE-2023-2877

Fecha de publicación:
27/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** The Formidable Forms WordPress plugin before 6.3.1 does not adequately authorize the user or validate the plugin URL in its functionality for installing add-ons. This allows a user with a role as low as Subscriber to install and activate arbitrary plugins of arbitrary versions from the WordPress.org plugin repository onto the site, leading to Remote Code Execution.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

CVE-2023-2842

Fecha de publicación:
27/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** The WP Inventory Manager WordPress plugin before 2.1.0.14 does not have CSRF checks, which could allow attackers to make logged-in admins delete Inventory Items via a CSRF attack
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023