Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en IBM Security Directory Suite (CVE-2022-32752)

Fecha de publicación:

15/06/2023

Idioma:

Español

IBM Security Directory Suite VA v8.0.1 a v8.0.1.19 podría permitir a un atacante remoto autenticado ejecutar comandos arbitrarios en el sistema enviando una solicitud especialmente manipulada. ID de IBM X-Force: 228439.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/06/2023

Vulnerabilidad en IBM Security Directory Suite (CVE-2022-32757)

Fecha de publicación:

15/06/2023

Idioma:

Español

IBM Security Directory Suite VA v8.0.1 a v8.0.1.19 utiliza una configuración de bloqueo de cuentas inadecuada que podría permitir a un atacante remoto forzar las credenciales de las cuentas. ID de IBM X-Force: 228510.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/06/2023

Vulnerabilidad en IBM Security Directory Suite (CVE-2022-33159)

Fecha de publicación:

15/06/2023

Idioma:

Español

IBM Security Directory Suite VA v8.0.1 a v8.0.1.19 almacena las credenciales de usuario en texto sin formato que puede leer un usuario autenticado. ID de IBM X-Force: 228567.

Gravedad CVSS v3.1: MEDIA

Última modificación:

21/06/2023

Vulnerabilidad en IBM Security Directory Suite (CVE-2022-33163)

Fecha de publicación:

15/06/2023

Idioma:

Español

IBM Security Directory Suite VA v8.0.1 especifica permisos para un recurso crítico para la seguridad de una forma que permite que dicho recurso sea leído o modificado por actores no deseados. ID de IBM X-Force: 228571.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/06/2023

Vulnerabilidad en IBM Security Directory Suite (CVE-2022-33168)

Fecha de publicación:

15/06/2023

Idioma:

Español

IBM Security Directory Suite VA v8.0.1 podría permitir a un atacante provocar una denegación de servicio debido al consumo incontrolado de recursos. ID de IBM X-Force: 228588.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/06/2023

CVE-2023-25683

Fecha de publicación:

15/06/2023

Idioma:

Inglés

*** Pendiente de traducción *** IBM PowerVM Hypervisor FW950.00 through FW950.71, FW1010.00 through FW1010.40, FW1020.00 through FW1020.20, and FW1030.00 through FW1030.11 could allow an attacker to obtain sensitive information if they gain service access to the HMC. IBM X-Force ID: 247592.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/06/2023

Vulnerabilidad en IBM Security Guardium (CVE-2022-22307)

Fecha de publicación:

15/06/2023

Idioma:

Español

IBM Security Guardium v11.3, v11.4 y v11.5 podría permitir a un usuario local obtener privilegios elevados debido a comprobaciones de autorización incorrectas. ID de IBM X-Force: 216753.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/06/2023

Vulnerabilidad en Grav (CVE-2023-34448)

Fecha de publicación:

14/06/2023

Idioma:

Español

Grav es un sistema de gestión de contenidos de archivos planos. Antes de la versión 1.7.42, el parche para CVE-2022-2073, una vulnerabilidad de inyección de plantillas del lado del servidor en Gray aprovechando la función predeterminada "filter()", no bloqueaba otras funciones integradas expuestas por la extensión principal de Twig que podían utilizarse para invocar funciones no seguras arbitrarias, permitiendo así la ejecución remota de código. Un parche en la versión 1.74.2 anula las funciones de filtro incorporadas de Twig "map()" y "reduce()" en "system/src/Grav/Common/Twig/Extension/GravExtension.php" para validar el argumento pasado al filtro en "$arrow".

Gravedad CVSS v3.1: ALTA

Última modificación:

22/06/2023

Vulnerabilidad en Grav (CVE-2023-34452)

Fecha de publicación:

14/06/2023

Idioma:

Español

Grav es un sistema de gestión de contenidos de archivos planos. En las versiones 1.7.42 y anteriores, la página "/forgot_password" tiene una vulnerabilidad de Cross-Site Scripting auto reflejada que puede ser explotada inyectando un script en el parámetro "email" de la petición. Aunque esta vulnerabilidad puede permitir potencialmente a un atacante ejecutar código arbitrario en el navegador del usuario, el impacto es limitado, ya que requiere la interacción del usuario para desencadenar la vulnerabilidad. EN el momento de la publicación, no se disponía de un parche. Se debe implementar la validación del lado del servidor para evitar esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/06/2023

CVE-2023-34253

Fecha de publicación:

14/06/2023

Idioma:

Inglés

*** Pendiente de traducción *** Grav is a flat-file content management system. Prior to version 1.7.42, the denylist introduced in commit 9d6a2d to prevent dangerous functions from being executed via injection of malicious templates was insufficient and could be easily subverted in multiple ways -- (1) using unsafe functions that are not banned, (2) using capitalised callable names, and (3) using fully-qualified names for referencing callables. Consequently, a low privileged attacker with login access to Grav Admin panel and page creation/update permissions is able to inject malicious templates to obtain remote code execution. A patch in version 1.7.42 improves the denylist.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

CVE-2023-34251

Fecha de publicación:

14/06/2023

Idioma:

Inglés

*** Pendiente de traducción *** Grav is a flat-file content management system. Versions prior to 1.7.42 are vulnerable to server side template injection. Remote code execution is possible by embedding malicious PHP code on the administrator screen by a user with page editing privileges. Version 1.7.42 contains a fix for this issue.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/06/2023

CVE-2023-34252

Fecha de publicación:

14/06/2023

Idioma:

Inglés

*** Pendiente de traducción *** Grav is a flat-file content management system. Prior to version 1.7.42, there is a logic flaw in the `GravExtension.filterFilter()` function whereby validation against a denylist of unsafe functions is only performed when the argument passed to filter is a string. However, passing an array as a callable argument allows the validation check to be skipped. Consequently, a low privileged attacker with login access to Grav Admin panel and page creation/update permissions is able to inject malicious templates to obtain remote code execution. The vulnerability can be found in the `GravExtension.filterFilter()` function declared in `/system/src/Grav/Common/Twig/Extension/GravExtension.php`. Version 1.7.42 contains a patch for this issue. End users should also ensure that `twig.undefined_functions` and `twig.undefined_filters` properties in `/path/to/webroot/system/config/system.yaml` configuration file are set to `false` to disallow Twig from treating undefined filters/functions as PHP functions and executing them.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Suscribirse a Vulnerabilidades