Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2021-37438
Fecha de publicación:
25/07/2021
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: none. Reason: This candidate was withdrawn by its CNA. Further investigation showed that it was not a security issue. Notes: none
Gravedad: Pendiente de análisis
Última modificación:
07/11/2023

Vulnerabilidad en los archivos de configuración .dat en NCH ??Quorum (CVE-2021-37452)
Fecha de publicación:
25/07/2021
Idioma:
Español
NCH ??Quorum versiones v2.03 y anteriores permite a usuarios locales detectar información de inicio de sesión en texto sin cifrar relacionados a usuarios al leer los archivos de configuración .dat locales
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/07/2022

Vulnerabilidad en firefly-iii (CVE-2021-3663)
Fecha de publicación:
25/07/2021
Idioma:
Español
firefly-iii es vulnerable a la Restricción Inapropiada de Intentos de Autenticación Excesivos
Gravedad CVSS v3.1: ALTA
Última modificación:
04/08/2021

Vulnerabilidad en un nuevo archivo zip en paquete jszip (CVE-2021-23413)
Fecha de publicación:
25/07/2021
Idioma:
Español
Esto afecta al paquete jszip versiones anteriores a 3.7.0. Diseñando un nuevo archivo zip con nombres de archivo ajustados en valores de prototipos de Objetos (por ejemplo, __proto__, toString, etc.) resulta en un objeto devuelto con una instancia de prototipo modificada
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/08/2021

Vulnerabilidad en una serie de complejos ataques de hardware y software en unos dispositivos Amazon Echo Dot (CVE-2021-37436)
Fecha de publicación:
24/07/2021
Idioma:
Español
Unos dispositivos Amazon Echo Dot versiones hasta 02-07-2021 a veces permiten a atacantes, que tienen acceso físico a un dispositivo después de un restablecimiento de fábrica, obtener información confidencial por medio de una serie de complejos ataques de hardware y software. NOTA: según se informa, hubo declaraciones de marketing del proveedor sobre la eliminación segura de contenido personal por medio de un restablecimiento de fábrica. Además, el proveedor ha reportado que está trabajando en la mitigación
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/08/2021

Vulnerabilidad en la interfaz de administración de Envoy en Contour (CVE-2021-32783)
Fecha de publicación:
23/07/2021
Idioma:
Español
Contour es un controlador de entrada de Kubernetes usando el proxy Envoy. En Contour versiones anteriores a 1.17.1 se puede usar un servicio de tipo ExternalName especialmente diseñado para acceder a la interfaz de administración de Envoy, que Contour normalmente impide el acceso fuera del contenedor Envoy. Esto puede ser usado para cerrar Envoy de forma remota (una denegación de servicio), o para exponer la existencia de cualquier secreto que Envoy esté usando para su configuración, incluyendo especialmente los pares de claves TLS. Sin embargo, *no* puede ser usado para obtener el *contenido* de esos secretos. Dado que este ataque permite el acceso a la interfaz de administración, se presentan diversas opciones de administración, como apagar el Envoy o drenar el tráfico. En general, la interfaz de administración de Envoy no puede ser usada fácilmente para realizar cambios en el cluster, las peticiones en vuelo o los servicios backend, pero podría ser usado para apagar o drenar Envoy, cambiar el enrutamiento del tráfico o recuperar metadatos secretos, como se ha mencionado anteriormente. El problema se abordará en Contour versión v1.18.0 y ha sido lanzado una versión de parche, versión v1.17.1, para cubrir a usuarios que no pueden actualizar en este momento. Para más detalles, consulte el aviso de seguridad de GitHub
Gravedad CVSS v3.1: ALTA
Última modificación:
05/08/2021

Vulnerabilidad en el socket SSL en PJSIP (CVE-2021-32686)
Fecha de publicación:
23/07/2021
Idioma:
Español
PJSIP es una biblioteca de comunicación multimedia gratuita y de código abierto escrita en lenguaje C implementando protocolos basados en estándares como SIP, SDP, RTP, STUN, TURN e ICE. En PJSIP versiones anteriores a 2.11.1, se presentan un par de problemas encontrados en el socket SSL. Primero, una condición de carrera entre la devolución de llamada y la destrucción, debido a que el socket aceptado no tiene bloqueo de grupo. Segundo, el socket SSL parent/listener puede ser destruido durante el handshake. Ambos problemas fueron reportados como ocurridos intermitentemente en conexiones TLS con mucha carga. Causan un bloqueo, resultando en una denegación de servicio. Se han corregido en versión 2.11.1
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/11/2025

Vulnerabilidad en una API en Jumpserver (CVE-2021-3169)
Fecha de publicación:
23/07/2021
Idioma:
Español
Un problema en Jumpserver versiones 2.6.2 e inferiores, permite a atacantes crear un token de conexión mediante una API que no presenta control de acceso y usarlo para acceder a activos confidenciales
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
29/01/2024

Vulnerabilidad en un mensaje de error devuelto en el archivo top.php en la función adminchannelscache() en UCMS (CVE-2021-25809)
Fecha de publicación:
23/07/2021
Idioma:
Español
Se ha detectado que UCMS versión 1.5.0, contiene un filtrado de ruta física por medio de un mensaje de error devuelto por la función adminchannelscache() en el archivo top.php
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/06/2022

Vulnerabilidad en un archivo ZIP en el archivo backup/plugin.php de Bludit (CVE-2021-25808)
Fecha de publicación:
23/07/2021
Idioma:
Español
Una vulnerabilidad de inyección de código en el archivo backup/plugin.php de Bludit versión 3.13.1, permite a atacantes ejecutar código arbitrario por medio de un archivo ZIP diseñado
Gravedad CVSS v3.1: ALTA
Última modificación:
02/08/2021

Vulnerabilidad en "CE Remote Display Tool" en Beckhoff Automation GmbH & Co. KG CX9020 (CVE-2020-20741)
Fecha de publicación:
23/07/2021
Idioma:
Español
Un Control de Acceso Incorrecto en Beckhoff Automation GmbH & Co. KG CX9020 con versiones de firmware CX9020_CB3011_WEC7_HPS_v602_TC31_B4016.6, permite a atacantes remotos omitir la autenticación por medio de "CE Remote Display Tool", ya que no cierra la conexión entrante en el lado de Windows CE si las credenciales son incorrectas
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
09/08/2021

Vulnerabilidad en unas cargas útiles en los campos de texto First Name, Last Name y Address en el módulo "Update Profile" de Online Doctor Appointment System (CVE-2021-25791)
Fecha de publicación:
23/07/2021
Idioma:
Español
Múltiples vulnerabilidades de cross site scripting (XSS) almacenadas en el módulo "Update Profile" de Online Doctor Appointment System versión 1.0, permiten a atacantes autenticados ejecutar scripts web o HTML arbitrario por medio de cargas útiles diseñadas en los campos de texto First Name, Last Name y Address
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/08/2021
Suscribirse a Vulnerabilidades