Con el objetivo de informar y advertir sobre las vulnerabilidades en los sistemas informáticos, ponemos a disposición de los usuarios del portal, una base de datos con información sobre cada una de las vulnerabilidades informáticas públicamente conocidas.
Este repositorio con más de 50.000 registros esta basada en la metabase del NVD (National Vulnerability Database) - en función de un acuerdo de colaboración – que desde Inteco traducimos al español. En ocasiones el listado mostrará vulnerabilidades que aún no han sido traducidas debido a que aparecen en el transcurso de tiempo en el que el equipo de INTECO-CERT realiza el proceso.
Mediante la suscripción RSS disponible en el título de la sección, podemos estar informados diariamente de las vulnerabilidades que han sido incorporadas.
Cada una de las vulnerabilidades enlaza a diversas fuentes de información así como a distintos parches o soluciones. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, el fabricante y típo de impacto, entre otros, con el fin de acotar los resultados.
Buscador avanzado de vulnerabilidades.
La mayor parte de la información se extrae de fuentes de prestigio en el campo de la seguridad en Tecnologías de la Información: recomendaciones del CERT, ISS X-Force, Security Focus, y boletines de seguridad de fabricantes como Microsoft. Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas.
A continuación se ofrece un listado donde consultar las últimas vulnerabilidades descubiertas, actualizado diariamente.
Descripción: The Xelex MobileTrack application 2.3.7 and earlier for Android does not verify the origin of SMS commands, which allows remote attackers to execute a (1) LOCATE, (2) TRACK, (3) UPDATECFG, (4) UPDATEACCT, (5) STAT, (6) TERM, or (7) WIPE command via an SMS message.
Descripción: The Xelex MobileTrack application 2.3.7 and earlier for Android uses hardcoded credentials, which allows remote attackers to obtain sensitive information via an unencrypted (1) FTP or (2) HTTP session.
Descripción: Atlassian JIRA before 5.0.1; Confluence before 3.5.16, 4.0 before 4.0.7, and 4.1 before 4.1.10; FishEye and Crucible before 2.5.8, 2.6 before 2.6.8, and 2.7 before 2.7.12; Bamboo before 3.3.4 and 3.4.x before 3.4.5; and Crowd before 2.0.9, 2.1 before 2.1.2, 2.2 before 2.2.9, 2.3 before 2.3.7, and 2.4 before 2.4.1 do not properly restrict the capabilities of third-party XML parsers, which allows remote attackers to read arbitrary files or cause a denial of service (resource consumption) via unspecified vectors.
Descripción: The TM Software Tempo plugin before 6.4.3.1, 6.5.x before 6.5.0.2, and 7.x before 7.0.3 for Atlassian JIRA does not properly restrict the capabilities of third-party XML parsers, which allows remote authenticated users to cause a denial of service (resource consumption) via unspecified vectors.
Descripción: The Gliffy plugin before 3.7.1 for Atlassian JIRA, and before 4.2 for Atlassian Confluence, does not properly restrict the capabilities of third-party XML parsers, which allows remote attackers to read arbitrary files or cause a denial of service (resource consumption) via unspecified vectors.
Descripción: Multiple cross-site scripting (XSS) vulnerabilities in Schneider Electric Kerweb before 3.0.1 and Kerwin before 6.0.1 allow remote attackers to inject arbitrary web script or HTML via (1) the evtvariablename parameter in an evts.xml action to kw.dll, (2) unspecified search fields, or (3) unspecified content-display fields.
Descripción: Cross-site scripting (XSS) vulnerability in login-with-ajax.php in the Login With Ajax (aka login-with-ajax) plugin before 3.0.4.1 for WordPress allows remote attackers to inject arbitrary web script or HTML via the callback parameter in a lostpassword action to wp-login.php.
Descripción: SQL injection vulnerability in the list module in TYPO3 4.2.x before 4.2.16, 4.3.x before 4.3.9, and 4.4.x before 4.4.5 allows remote authenticated users with certain permissions to execute arbitrary SQL commands via unspecified vectors.
Vulnerabilidad en TYPO3 (CVE-2010-5097)
Tipo: Secuencias de comandos en sitios cruzados - XSS Gravedad: Baja Fecha de publicación: 21/05/2012 Última modificación: 22/05/2012Descripción: Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en la funcionalidad "click enlarge" de TYPO3 4.3.x anteriores a 4.3.9 y 4.4.x anteriores a 4.4.5. Cuando la plataforma de caché está habilitada, permite a atacantes remotos inyectar codigo de script web o código HTML de su elección a través de vectores sin especificar.
Vulnerabilidad en FORM de TYPO3 (CVE-2010-5098)
Tipo: Secuencias de comandos en sitios cruzados - XSS Gravedad: Baja Fecha de publicación: 21/05/2012 Última modificación: 22/05/2012Descripción: Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en el objeto de contenido FORM de TYPO3 4.2.x before 4.2.16, 4.3.x anteriores a 4.3.9, y 4.4.x anteriores a 4.4.5. Permite a atacantes remotos inyectar codigo de script web o código HTML de vectores sin especificar.