Saltar al contenido
ITDPlataforma de seguridad web
ITD
Buscar

Búsqueda de CVE / KEV

Introduce un identificador CVE para ver la gravedad (CVSS), la probabilidad de explotación (EPSS), si tiene explotación confirmada (CISA KEV) y pistas de remediación en un solo lugar. Primero la base de datos de feeds de este sitio, con respaldo en vivo de NVD/FIRST.

Al ejecutar una consulta, el identificador CVE se envía a este sitio y, cuando sea necesario, a las API públicas de NVD, OSV.dev y FIRST. Rellenar el identificador no inicia la consulta. El identificador puede quedar en la URL, el historial del navegador y los registros de acceso. No introduzcas contraseñas, información personal ni credenciales.

Usar la herramienta

Envío
El ID de CVE, al servidor de este sitio
Almacenamiento
Las consultas no se guardan (el ID puede quedar en URL y registros)
API externa
El servidor envía el ID de CVE a NVD, OSV.dev y FIRST
Destino
Solo ID de CVE públicos
Detalles
  • Al consultar, el ID de CVE se envía al servidor de este sitio. El servidor lee la base de datos del sitio y, si hace falta, envía el ID de CVE a las API públicas de NVD, OSV.dev y FIRST (EPSS).
  • Las consultas no se registran en la base de datos. El ID de CVE forma parte de la URL, por lo que puede quedar en el historial del navegador y en los registros de acceso.
  • Las versiones o configuraciones que introduzcas en los campos de comparación del resultado se procesan solo en tu navegador. No introduzcas nada que no sea un ID de CVE (contraseñas, datos personales ni credenciales).
  • La carga de la página en sí queda en el registro de acceso (dirección IP, hora, agente de usuario, etc.). Las páginas de herramientas no cargan anuncios ni analítica. Política de privacidad
Probar un ejemplo (Log4Shell / CVE-2021-44228)CVE-2021-44228
CVE-2021-44228ITD DBExplotación confirmada (KEV)Uso en ransomwarePrioridad ITD: Crítica

NVD record state: Analyzed

This describes NVD analysis work, not whether your product/version is affected. Pending, unscheduled or missing analysis does not establish safety or lack of impact.

NVD state stored by this site; the latest state was not rechecked for this lookup.

Reported state: Analyzed

NVD record modification: 2026-06-17T04:12:05.460ZThis is not the retrieval or rejection time. Consult the original for the full change history.

Check the original NVD record

Stored description; verify against the original record

Apache Log4j2 2.0-beta9 through 2.15.0 (excluding security releases 2.12.2, 2.12.3, and 2.3.1) JNDI features used in configuration, log messages, and parameters do not protect against attacker controlled LDAP and other JNDI related endpoints. An attacker who can control log messages or log message parameters can execute arbitrary code loaded from LDAP servers when message lookup substitution is enabled. From log4j 2.15.0, this behavior has been disabled by default. From version 2.16.0 (along with 2.12.2, 2.12.3, and 2.3.1), this functionality has been completely removed. Note that this vulnerability is specific to log4j-core and does not affect log4net, log4cxx, or other Apache Logging Services projects.

NVD oficial
Gravedad (CVSS)
CVSS10.0v3.1

Stored representative assessment

Assessor: nvd@nist.gov / primary

Reported vector (score not recalculated): CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Probabilidad de explotación (EPSS)
100.0%2026-11-10
Percentil EPSS
100.0%
Añadida a KEV
2021-12-10
Plazo de remediación
2021-12-24
Publicada
2021-12-10
Compare CVSS assessors, versions and vectors (3)

CVSS Base describes severity, not the probability your system is compromised. For NVD records the display policy is the latest available version, then Primary within that version, then reported order. This does not maximize scores or identify Primary as NVD. Examine the platform and vectors; do not average different assessments.

Assessments below are from a stored NVD record, not a current recheck or complete history. At most the first 16 per version. An assessor is not inferred for legacy representative-only data.

Missing, unsupported or invalid fields or row limits leave some assessments unverified. The displayed assessments may be incomplete.

  • CVSS 3.1 / 10.0

    Assessor: nvd@nist.gov / primary

    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  • CVSS 3.1 / 10.0

    Assessor: 134c704f-9b21-4f2e-91b3-4a467353bcc0 / secondary

    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  • CVSS 2.0 / 9.3

    Assessor: nvd@nist.gov / primary

    AV:N/AC:M/Au:N/C:C/I:C/A:CVector format checking is unsupported for this version; reported text is retained.

CISA KEV records confirmed real-world exploitation, not continuous attack monitoring or compromise of your environment. EPSS forecasts observed exploitation over the next 30 days from its evaluation date, not the probability your site is compromised. Percentile is relative rank; the trend shows earlier daily forecasts. Low EPSS does not cancel confirmed KEV evidence. A CISA catalog due date is not treated as a universal legal deadline.

Historial de pronósticos diarios EPSS (hasta 30 días)
hace 7 días 100.0% → último 100.0%(2026-11-10)
Tipo de debilidad (CWE)
  • CWE-20Improper Input Validation
  • CWE-400Uncontrolled Resource Consumption
  • CWE-502Deserialization of Untrusted Data
  • CWE-917Improper Neutralization of Special Elements used in an Expression Language Statement ('Expression Language Injection')
Paquetes de código abierto afectados

Antes de elegir una corrección, comprueba el paquete, la versión, la rama, la compatibilidad y otros avisos. Las versiones posteriores no son necesariamente seguras. Los rangos proceden de cada aviso; no incluyen paquetes de distribuciones del sistema operativo.

  • Mavenorg.apache.logging.log4j:log4j-coreGHSA-jfh8-c2jp-5v3q
    Afectadas
    ECOSYSTEM: >= 2.13.0, < 2.15.0ECOSYSTEM: >= 2.0-beta9, < 2.3.1ECOSYSTEM: >= 2.4, < 2.12.2+ 33 versiones concretas
    Corregido en
    2.15.0, 2.3.1, 2.12.2
  • Mavenorg.ops4j.pax.logging:pax-logging-log4j2GHSA-jfh8-c2jp-5v3q
    Afectadas
    ECOSYSTEM: >= 1.8.0, < 1.9.2ECOSYSTEM: >= 1.10.0, < 1.10.8ECOSYSTEM: >= 1.11.0, < 1.11.10ECOSYSTEM: >= 2.0.0, < 2.0.11+ 39 versiones concretas
    Corregido en
    1.9.2, 1.10.8, 1.11.10, 2.0.11
  • Mavencom.guicedee.services:log4j-coreGHSA-jfh8-c2jp-5v3q
    Afectadas
    ECOSYSTEM: <= 1.2.1.2-jre17+ 362 versiones concretas
    Corregido en
    —
  • Mavenorg.xbib.elasticsearch:log4jGHSA-jfh8-c2jp-5v3q
    Afectadas
    1 versiones concretas
    Corregido en
    —
  • Mavenuk.co.nichesolutions.logging.log4j:log4j-coreGHSA-jfh8-c2jp-5v3q
    Afectadas
    1 versiones concretas
    Corregido en
    —

This product uses the NVD API but is not endorsed or certified by the NVD. Exploited-vulnerability data: CISA KEV (CC0). EPSS: see EPSS at https://www.first.org/epss. CWE™ is a trademark of The MITRE Corporation. Open source package data: OSV.dev / GitHub Advisory Database (CC BY 4.0).

Cómo usarla

  1. 1

    Introduce el identificador CVE que te interesa (p. ej. CVE-2021-44228).

  2. 2

    Se muestran CVSS, EPSS, KEV (explotación confirmada) y pistas de remediación.

  3. 3

    Profundiza con «el análisis de este sitio» o la página «NVD oficial».

Por qué importa

CVSS es la gravedad, pero si llega a explotarse es otra cuestión. Combinar EPSS (pronóstico de 30 días desde la fecha de evaluación) con CISA KEV (explotación realmente observada) te permite decidir de forma realista si corregirla ahora. Este sitio reúne las tres (CVSS × EPSS × KEV) en una sola pantalla.

Preguntas frecuentes

Q¿Qué es KEV?
A

El catálogo de CISA recoge vulnerabilidades con explotación real confirmada. Es evidencia para priorizar, pero no demuestra ataques que continúen ahora ni que tu entorno esté comprometido.

Q¿EPSS frente a CVSS?
A

CVSS Base describe la gravedad. EPSS estima la explotación observada en los 30 días siguientes a su fecha de evaluación, no la probabilidad de compromiso de tu sistema. Considera producto, versión y exposición.

Q¿Puedo buscar cualquier CVE?
A

Se consulta primero la base de este sitio y NVD para información faltante. Una ausencia local o un fallo de consulta no demuestra ausencia de KEV ni falta de impacto.

Páginas relacionadas