Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ConnectWise ScreenConnect (CVE-2023-47256)

Fecha de publicación:
01/02/2024
Idioma:
Español
ConnectWise ScreenConnect hasta 23.8.4 permite a los usuarios locales conectarse a servidores de retransmisión arbitrarios mediante la confianza implícita en la configuración del proxy
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2025

Vulnerabilidad en ConnectWise ScreenConnect (CVE-2023-47257)

Fecha de publicación:
01/02/2024
Idioma:
Español
ConnectWise ScreenConnect hasta la versión 23.8.4 permite a atacantes de man in the middle lograr la ejecución remota de código a través de mensajes manipulados.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/05/2025

Vulnerabilidad en Objectplanet Opinio (CVE-2023-4472)

Fecha de publicación:
01/02/2024
Idioma:
Español
Objectplanet Opinio versión 7.22 y anteriores utiliza un generador de números pseudoaleatorios (PRNG) criptográficamente débil acoplado a una semilla predecible, lo que podría conducir a una apropiación no autenticada de la cuenta de cualquier usuario de la aplicación.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
11/06/2025

Vulnerabilidad en Helix Sync (CVE-2024-0325)

Fecha de publicación:
01/02/2024
Idioma:
Español
En las versiones de Helix Sync anteriores a la 2024.1, se identificó una inyección de comando local. Reportado por Bryan Riggins.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/02/2024

Vulnerabilidad en Gessler GmbH WEB-MASTER (CVE-2024-1039)

Fecha de publicación:
01/02/2024
Idioma:
Español
Gessler GmbH WEB-MASTER tiene una cuenta de restauración que utiliza credenciales codificadas débiles y, si se explota, podría permitir a un atacante controlar la administración web del dispositivo.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/08/2025

Vulnerabilidad en Gessler GmbH WEB-MASTER (CVE-2024-1040)

Fecha de publicación:
01/02/2024
Idioma:
Español
La cuenta de usuario de Gessler GmbH WEB-MASTER se almacena mediante un algoritmo hash débil. El atacante puede restaurar las contraseñas rompiendo los hashes almacenados en el dispositivo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/08/2025

Vulnerabilidad en discourse (CVE-2024-24755)

Fecha de publicación:
01/02/2024
Idioma:
Español
discourse-group-membership-ip-block es un complemento de discourse que agrega soporte para agregar usuarios a grupos según su dirección IP. discourse-group-membership-ip-block estaba enviando todos los campos personalizados del grupo al cliente, incluidos los campos personalizados del grupo de otros complementos que pueden esperar que sus campos personalizados permanezcan en secreto.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/02/2024

Vulnerabilidad en Travel Journal (CVE-2024-24945)

Fecha de publicación:
01/02/2024
Idioma:
Español
Una vulnerabilidad de cross site scripting (XSS) almacenado en Travel Journal usando PHP y MySQL con código fuente v1.0 permite a los atacantes ejecutar scripts web arbitrarios o HTML a través de un payload manipulado inyectado en el parámetro Share Your Moments en /travel-journal/write -journal.php.
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/05/2025

Vulnerabilidad en Travel Journal (CVE-2024-24041)

Fecha de publicación:
01/02/2024
Idioma:
Español
Una vulnerabilidad de cross site scripting (XSS) almacenado en Travel Journal usando PHP y MySQL con código fuente v1.0 permite a los atacantes ejecutar scripts web arbitrarios o HTML a través de un payload manipulado inyectado en el parámetro de ubicación en /travel-journal/write-journal .php.
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/05/2025

Vulnerabilidad en Pixee Java Code Security Toolkit (CVE-2024-24569)

Fecha de publicación:
01/02/2024
Idioma:
Español
Pixee Java Code Security Toolkit es un conjunto de API de seguridad destinadas a ayudar a proteger el código Java. `ZipSecurity#isBelowCurrentDirectory` es vulnerable a una omisión de partial-path traversal. Para ser vulnerable a la omisión, la aplicación debe utilizar la versión del kit de herramientas <=1.1.1, utilizar ZipSecurity como protección contra el path traversal y tener una ruta de explotación. Aunque el control todavía protege a los atacantes de escapar de la ruta de la aplicación a directorios de nivel superior (por ejemplo, /etc/), permitirá "escapar" a rutas hermanas. Por ejemplo, si su ruta de ejecución es /my/app/path, un atacante podría navegar hasta /my/app/path-something-else. Esta vulnerabilidad está parcheada en 1.1.2.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/02/2024

Vulnerabilidad en Academy Software Foundation OpenEX (CVE-2023-5841)

Fecha de publicación:
01/02/2024
Idioma:
Español
Debido a un fallo en la validación del número de muestras de líneas de escaneo de un archivo OpenEXR que contiene datos de líneas de escaneo profundas, la librería de análisis de imágenes Academy Software Foundation OpenEX versión 3.2.1 y anteriores es susceptible a una vulnerabilidad de desbordamiento de búfer en la región Heap de la memoria.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/11/2025

Vulnerabilidad en GLPI (CVE-2023-51446)

Fecha de publicación:
01/02/2024
Idioma:
Español
GLPI es un paquete gratuito de software de gestión de TI y activos. Cuando la autenticación se realiza contra un LDAP, el formulario de autenticación se puede utilizar para realizar la inyección de LDAP. Actualice a 10.0.12.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/02/2024