Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-29405
Fecha de publicación:
08/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** The go command may execute arbitrary code at build time when using cgo. This may occur when running "go get" on a malicious module, or when running any other command which builds untrusted code. This is can by triggered by linker flags, specified via a "#cgo LDFLAGS" directive. Flags containing embedded spaces are mishandled, allowing disallowed flags to be smuggled through the LDFLAGS sanitization by including them in the argument of another flag. This only affects usage of the gccgo compiler.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
06/01/2025

CVE-2023-29401
Fecha de publicación:
08/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** The filename parameter of the Context.FileAttachment function is not properly sanitized. A maliciously crafted filename can cause the Content-Disposition header to be sent with an unexpected filename value or otherwise modify the Content-Disposition header. For example, a filename of "setup.bat";x=.txt" will be sent as a file named "setup.bat". If the FileAttachment function is called with names provided by an untrusted source, this may permit an attacker to cause a file to be served with a name different than provided. Maliciously crafted attachment file name can modify the Content-Disposition header.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/01/2025

CVE-2023-24535
Fecha de publicación:
08/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** Parsing invalid messages can panic. Parsing a text-format message which contains a potential number consisting of a minus sign, one or more characters of whitespace, and no further input will cause a panic.
Gravedad CVSS v3.1: ALTA
Última modificación:
06/01/2025

CVE-2023-0954
Fecha de publicación:
08/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** A debug feature in Sensormatic Electronics Illustra Pro Gen 4 Dome and PTZ cameras allows a user to compromise credentials after a long period of sustained attack.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/06/2023

CVE-2023-29402
Fecha de publicación:
08/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** The go command may generate unexpected code at build time when using cgo. This may result in unexpected behavior when running a go program which uses cgo. This may occur when running an untrusted module which contains directories with newline characters in their names. Modules which are retrieved using the go command, i.e. via "go get", are not affected (modules retrieved using GOPATH-mode, i.e. GO111MODULE=off, may be affected).
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
06/01/2025

Vulnerabilidad en Unix (CVE-2023-29403)
Fecha de publicación:
08/06/2023
Idioma:
Español
En las plataformas Unix, el entorno de ejecución de Go no se comporta de forma diferente cuando se ejecuta un binario con los bits setuid/setgid. Esto puede ser peligroso en ciertos casos, como cuando se vuelca el estado de la memoria o se asume el estado de los descriptores de archivos de E/S estándar. Si se ejecuta un binario setuid/setgid con los descriptores de archivos de E/S estándar cerrados, la apertura de cualquier archivo puede provocar que se lea o escriba contenido inesperado con privilegios elevados. De manera similar, si se finaliza un programa setuid/setgid, ya sea por pánico o señal, puede filtrar el contenido de sus registros.
Gravedad CVSS v3.1: ALTA
Última modificación:
06/01/2025

CVE-2023-34231
Fecha de publicación:
08/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** gosnowflake is th Snowflake Golang driver. Prior to version 1.6.19, a command injection vulnerability exists in the Snowflake Golang driver via single sign-on (SSO) browser URL authentication. In order to exploit the potential for command injection, an attacker would need to be successful in (1) establishing a malicious resource and (2) redirecting users to utilize the resource. The attacker could set up a malicious, publicly accessible server which responds to the SSO URL with an attack payload. If the attacker then tricked a user into visiting the maliciously crafted connection URL, the user’s local machine would render the malicious payload, leading to a remote code execution. This attack scenario can be mitigated through URL whitelisting as well as common anti-phishing resources. A patch is available in version 1.6.19.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/06/2023

CVE-2023-32749
Fecha de publicación:
08/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** Pydio Cells allows users by default to create so-called external users in order to share files with them. By modifying the HTTP request sent when creating such an external user, it is possible to assign the new user arbitrary roles. By assigning all roles to a newly created user, access to all cells and non-personal workspaces is granted.
Gravedad CVSS v3.1: ALTA
Última modificación:
06/01/2025

CVE-2023-34961
Fecha de publicación:
08/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** Chamilo v1.11.x up to v1.11.18 was discovered to contain a cross-site scripting (XSS) vulnerability via the /feedback/comment field.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/01/2025

CVE-2023-34959
Fecha de publicación:
08/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** An issue in Chamilo v1.11.* up to v1.11.18 allows attackers to execute a Server-Side Request Forgery (SSRF) and obtain information on the services running on the server via crafted requests in the social and links tools.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/01/2025

CVE-2023-34962
Fecha de publicación:
08/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** Incorrect access control in Chamilo v1.11.x up to v1.11.18 allows a student to arbitrarily access and modify another student's personal notes.
Gravedad CVSS v3.1: ALTA
Última modificación:
06/01/2025

CVE-2023-34096
Fecha de publicación:
08/06/2023
Idioma:
Inglés
*** Pendiente de traducción *** Thruk is a multibackend monitoring webinterface which currently supports Naemon, Icinga, Shinken and Nagios as backends. In versions 3.06 and prior, the file `panorama.pm` is vulnerable to a Path Traversal vulnerability which allows an attacker to upload a file to any folder which has write permissions on the affected system. The parameter location is not filtered, validated or sanitized and it accepts any kind of characters. For a path traversal attack, the only characters required were the dot (`.`) and the slash (`/`). A fix is available in version 3.06.2.
Gravedad CVSS v3.1: ALTA
Última modificación:
19/06/2023
Suscribirse a Vulnerabilidades