Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Totolink A3100R (CVE-2021-46009)

Fecha de publicación:

30/03/2022

Idioma:

Español

En Totolink A3100R Versión 5.9c.4577, varias páginas pueden ser leídas por curl o Burp Suite sin autenticación. Además, pueden establecerse configuraciones de administración sin cookies

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

05/04/2022

Vulnerabilidad en la configuración web en Totolink A3100R (CVE-2021-46010)

Fecha de publicación:

30/03/2022

Idioma:

Español

Totolink A3100R versión V5.9c.4577, sufre de Uso de Valores Insuficientemente Aleatorios por medio de la configuración web. El SESSION_ID es predecible. Un atacante puede secuestrar una sesión válida y realizar más operaciones maliciosas

Gravedad CVSS v3.1: ALTA

Última modificación:

05/04/2022

Vulnerabilidad en los símbolos especiales en totolink a3100r (CVE-2021-46007)

Fecha de publicación:

30/03/2022

Idioma:

Español

totolink a3100r versión V5.9c.4577, es vulnerable a una inyección de comandos del sistema operativo. El backend de una página está ejecutando el comando "ping", y el campo de entrada no filtra apropiadamente los símbolos especiales. Esto puede conllevar a ataques de inyección de comandos

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

05/04/2022

Vulnerabilidad en MashZone NextGen (CVE-2021-33523)

Fecha de publicación:

30/03/2022

Idioma:

Español

MashZone NextGen versiones hasta 10.7 GA, permite a un usuario remoto autenticado, con acceso a la consola de administración, cargar un nuevo controlador JDBC que puede ejecutar comandos arbitrarios en el host subyacente. Esto ocurre en com.idsscheer.ppmmashup.business.jdbc.DriverUploadController

Gravedad CVSS v3.1: ALTA

Última modificación:

06/04/2022

Vulnerabilidad en un archivo de configuración XML en la funcionalidad de administración "Register an Ehcache Configuration File" en MashZone NextGen (CVE-2021-33208)

Fecha de publicación:

30/03/2022

Idioma:

Español

La funcionalidad de administración "Register an Ehcache Configuration File" en MashZone NextGen versiones hasta 10.7 GA, permite realizar ataques de tipo XXE por medio de un archivo de configuración XML malicioso

Gravedad CVSS v3.1: ALTA

Última modificación:

05/04/2022

Vulnerabilidad en MashZone NextGen (CVE-2021-33581)

Fecha de publicación:

30/03/2022

Idioma:

Español

MashZone NextGen versiones hasta 10.7 GA, presenta una vulnerabilidad de tipo SSRF que permite a un atacante interactuar con servicios TCP arbitrarios, al abusar de la función para comprobar la disponibilidad de una conexión PPM. Esto ocurre en com.idsscheer.ppmmashup.web.webservice.impl.ZPrestoAdminWebService

Gravedad CVSS v3.1: ALTA

Última modificación:

06/04/2022

Vulnerabilidad en el método readObject en JOXSAXBeanInput en wuta jox (CVE-2021-43142)

Fecha de publicación:

30/03/2022

Idioma:

Español

Se presenta una vulnerabilidad de tipo XML External Entity (XXE) en wuta jox versión 1.16 en el método readObject en JOXSAXBeanInput

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

06/04/2022

Vulnerabilidad en Vivoh Webinar Manager (CVE-2021-45900)

Fecha de publicación:

30/03/2022

Idioma:

Español

Vivoh Webinar Manager versiones anteriores a 3.6.3.0, presenta una autenticación inapropiada de la API. Cuando un usuario es registrado en el portlet web de configuración de la administración, le es asignada una cookie VIVOH_AUTH para que pueda ser identificado de forma única. Algunas APIs pueden ser ejecutadas con éxito sin una autenticación apropiada. Esto puede permitir a un atacante hacerse pasar por la víctima y realizar peticiones de cambio de estado en su nombre

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/04/2022

Vulnerabilidad en Puma (CVE-2022-24790)

Fecha de publicación:

30/03/2022

Idioma:

Español

Puma es un servidor HTTP versión 1.1 simple, rápido, multihilo y paralelo para aplicaciones Ruby/Rack. Cuando es usado Puma detrás de un proxy que no comprueba apropiadamente que la petición HTTP entrante coincide con el estándar RFC7230, Puma y el proxy del frontend pueden no estar de acuerdo en dónde empieza y termina una petición. Esto permitiría contrabandear peticiones por medio del proxy del front-end a Puma. La vulnerabilidad ha sido corregida en versiones 5.6.4 y 4.3.12. Se recomienda a usuarios actualizar lo antes posible. Mitigación: cuando despliegue un proxy frente a Puma, habilite todas las funciones para asegurarse de que la petición se ajusta al estándar RFC7230

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en RSA Archer (CVE-2021-38362)

Fecha de publicación:

30/03/2022

Idioma:

Español

En RSA Archer versiones 6.x hasta 6.9 SP3 (6.9.3.0), un atacante autenticado puede hacer una petición GET a un endpoint de la API REST que es vulnerable a un problema de Referencia Directa a Objetos Insegura (IDOR) y recuperar datos confidenciales

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/07/2022

Vulnerabilidad en el método getHaveDoneTaskDataList del FlowTaskController en glorylion JFinalOA (CVE-2021-40645)

Fecha de publicación:

30/03/2022

Idioma:

Español

Se presenta una vulnerabilidad de inyección SQL en glorylion JFinalOA a partir del 7/9/2021 en el método getHaveDoneTaskDataList del FlowTaskController

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/04/2022