Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Spring Data JPA (CVE-2019-3797)

Fecha de publicación:
06/05/2019
Idioma:
Español
Esto afecta a Spring Data JPA en versiones hasta 2.1.5, 2.0.13 y 1.11.19 inclusive. Las consultas derivadas que utilizan cualquiera de los predicados "startingWith", "endingWith" o "containing" podrían devolver más resultados de los anticipados cuando se proporciona un valor de parámetro de consulta creado con fines malintencionados. Además, las expresiones LIKE en consultas definidas manualmente podrían devolver resultados inesperados si los valores de los parámetros vinculados no hubieran escapado correctamente a los caracteres reservados.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/02/2020

Vulnerabilidad en servidores Java Facebook Thrift (CVE-2019-3559)

Fecha de publicación:
06/05/2019
Idioma:
Español
Los servidores Java Facebook Thrift no detectaban un error al recibir mensajes con campo de contenido de tipo desconocido. Como resultado, clientes maliciosos podrían enviar mensajes cortos los cuales tomarían un largo periodo de tiempo de proceso al servidor, podría llevar a una potencial denegación de servicio. Este fallo afecta a Facebook Thrift versiones anteriores a v2019.02.18.00.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en Thrift de Go Facebook en Facebook Thrift (CVE-2019-3564)

Fecha de publicación:
06/05/2019
Idioma:
Español
Los servidores Thrift de Go Facebook no emitirían errores al recibir mensajes con contenedores de campos de tipo desconocido. En consecuencia, los clientes maliciosos podrían enviar mensajes cortos, lo que llevaría mucho tiempo para que el servidor los analice, esto conllevaría a una Denegación de Servicio. Este problema afecta a Facebook Thrift antes de versión 2019.03.04.00.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

CVE-2019-3565

Fecha de publicación:
06/05/2019
Idioma:
Español
Servidores legacy C++ Facebook Thrift (usando cpp en lugar de cpp2) no cometían errores al recibir mensajes con contenedores de tipo de campo desconocidos. Como resultado, los clientes maliciosos podían enviar mensajes cortos los cuales tomarían un largo periodo de análisis al servidor,esto podría llevar a una denegación de servicio. Este fallo afecta a Facebook Thrift versiones anteriores a v2019.05.06.00.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en Spring Cloud Config (CVE-2019-3799)

Fecha de publicación:
06/05/2019
Idioma:
Español
Spring Cloud Config, versiones 2.1.x anteriores a 2.1.2, versiones 2.0.x anteriores a 2.0.4, versiones 1.4.x anteriores a 1.4.6, y versiones anteriores no compatibles, permiten que aplicaciones entreguen archivos de configuración arbitrarios por medio del Módulo spring-cloud-config-server. Un usuario malicioso, o un atacante, puede enviar una petición usando una URL especialmente creada que puede provocar un ataque transversal a un directorio.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/06/2022

Vulnerabilidad en los servidores C ++ Facebook Thrift (CVE-2019-3552)

Fecha de publicación:
06/05/2019
Idioma:
Español
Los servidores C ++ Facebook Thrift (usando cpp2) no darían error al recibir mensajes con títulares de campos de tipo desconocido. Como resultado, los clientes maliciosos podrían enviar mensajes cortos, lo que llevaría mucho tiempo para que el servidor los analice, que conllevaría a una Denegación de Servicio (DoS). Este problema afecta a Facebook Thrift anterior a la versión v2019.02.18.00.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en Los servidores Python de Facebook Thrift (CVE-2019-3558)

Fecha de publicación:
06/05/2019
Idioma:
Español
Los servidores Python de Facebook Thrift no cometerían errores al recibir mensajes con titúlares de campos de tipo desconocido. Como resultado, los clientes maliciosos podrían enviar mensajes cortos, lo que llevaría mucho tiempo de análisis por parte del servidor, lo que podría llevar a una Denegación de Servicio (DoS). Este problema afecta a Facebook Thrift anterior a la versión v2019.02.18.00.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en Xtext y Xtend (CVE-2019-10249)

Fecha de publicación:
06/05/2019
Idioma:
Español
Todas las versiones de Xtext y Xtend anteriores a la versión 2.18.0, fueron construidos usando HTTP en un lugar de la transferencia de archivos HTTPS y, por lo tanto, los equipos construidos pueden haber sido comprometidos.
Gravedad CVSS v3.1: ALTA
Última modificación:
02/10/2020

Vulnerabilidad en dhcpcd (CVE-2019-11766)

Fecha de publicación:
05/05/2019
Idioma:
Español
dhcp6.c en dhcpcd versiones anteriores a 6.11.7 y 7.x en versiones anteriores a 7.2.2 tiene una sobre-lectura de búfer en la característica D6_OPTION_PD_EXCLUDE.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
27/02/2023

Vulnerabilidad en phpBB (CVE-2019-11767)

Fecha de publicación:
05/05/2019
Idioma:
Español
Server Side Request Forgery(SSRF) en phpBB versiones anteriores a la 3.2.6 permite comprobar la existencia de archivos y servicios en la red local del host a través de la función de carga remota de avatares.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/05/2019

Vulnerabilidad en Jira (CVE-2019-3400)

Fecha de publicación:
03/05/2019
Idioma:
Español
El gadget de etiquetas en Jira, en versiones anteriores a 7.13.2 y a partir de la versión 8.0.0 pero antes de la versión 8.0.2, permite a los atacantes remotos inyectar HTML o JavaScript arbitrarios a través de una vulnerabilidad de XSS en el parámetro jql.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/04/2022

Vulnerabilidad en BIG-IP (CVE-2019-6615)

Fecha de publicación:
03/05/2019
Idioma:
Español
En BIG-IP 14.0.0-14.1.0.1, 13.0.0-13.1.1.4, 12.1.0-12.1.4, 11.6.1-11.6.3.4, y 11.5.2-11.5.8, los roles de Administrador y "Resource Administrator" podrían explotar el acceso TMSH saltandose las restricciones del "Appliance Mode" en sistemas BIG-IP.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/02/2023