Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en CloudMe (CVE-2020-37070)

Fecha de publicación:
03/02/2026
Idioma:
Español
CloudMe 1.11.2 contiene una vulnerabilidad de desbordamiento de búfer que permite a atacantes remotos ejecutar código arbitrario a través de paquetes de red manipulados. Los atacantes pueden explotar la vulnerabilidad enviando una carga útil especialmente diseñada al servicio CloudMe que se ejecuta en el puerto 8888, lo que permite la ejecución remota de código.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en CraftCMS (CVE-2020-37071)

Fecha de publicación:
03/02/2026
Idioma:
Español
El plugin vCard 1.0.0 de CraftCMS 3 contiene una vulnerabilidad de deserialización que permite a atacantes no autenticados ejecutar código PHP arbitrario a través de una carga útil manipulada. Los atacantes pueden generar una carga útil serializada maliciosa que desencadena la ejecución remota de código al explotar la funcionalidad de descarga de vCard del plugin con una solicitud especialmente diseñada.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
15/04/2026

Vulnerabilidad en Remote Desktop Audit de LizardSystems (CVE-2020-37074)

Fecha de publicación:
03/02/2026
Idioma:
Español
Remote Desktop Audit 2.3.0.157 contiene una vulnerabilidad de desbordamiento de búfer que permite a los atacantes ejecutar código arbitrario durante el proceso de importación de archivos del Asistente para agregar equipos. Los atacantes pueden crear un archivo de carga útil malicioso para activar una omisión del controlador de excepciones estructuradas (SEH) y ejecutar shellcode al importar listas de equipos.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en LanSend de LizardSystems (CVE-2020-37075)

Fecha de publicación:
03/02/2026
Idioma:
Español
LanSend 3.2 contiene una vulnerabilidad de desbordamiento de búfer en la funcionalidad de importación de archivos del Asistente para Agregar Equipos que permite a atacantes remotos ejecutar código arbitrario. Los atacantes pueden crear un archivo de carga útil malicioso para desencadenar una sobrescritura del manejador de excepciones estructuradas (SEH) y ejecutar shellcode al importar equipos desde un archivo.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en FTP Utility de Konica Minolta (CVE-2020-37069)

Fecha de publicación:
03/02/2026
Idioma:
Español
Konica Minolta FTP Utility 1.0 contiene una vulnerabilidad de desbordamiento de búfer en el comando NLST que permite a los atacantes sobrescribir registros del sistema. Los atacantes pueden enviar un búfer sobredimensionado de 1500 caracteres 'A' para colapsar el servidor FTP y potencialmente ejecutar código no autorizado.
Gravedad CVSS v4.0: ALTA
Última modificación:
25/02/2026

Vulnerabilidad en FTP Utility de Konica Minolta (CVE-2020-37068)

Fecha de publicación:
03/02/2026
Idioma:
Español
Konica Minolta FTP Utility 1.0 contiene una vulnerabilidad de desbordamiento de búfer en el comando LIST que permite a los atacantes sobrescribir registros del sistema. Los atacantes pueden enviar un búfer sobredimensionado de 1500 caracteres 'A' para bloquear el servidor FTP y potencialmente ejecutar código no autorizado.
Gravedad CVSS v4.0: ALTA
Última modificación:
25/02/2026

Vulnerabilidad en StreamRipper32 (CVE-2020-37065)

Fecha de publicación:
03/02/2026
Idioma:
Español
StreamRipper32 versión 2.6 contiene una vulnerabilidad de desbordamiento de búfer en la sección Station/Song que permite a los atacantes sobrescribir memoria manipulando la entrada SongPattern. Los atacantes pueden crear una carga útil maliciosa que supere los 256 bytes para potencialmente ejecutar código arbitrario y comprometer la aplicación.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en GoldWave (CVE-2020-37066)

Fecha de publicación:
03/02/2026
Idioma:
Español
GoldWave 5.70 contiene una vulnerabilidad de desbordamiento de búfer que permite a los atacantes ejecutar código arbitrario al elaborar una entrada maliciosa en el diálogo Abrir URL de archivo. Los atacantes pueden generar un archivo de texto especialmente diseñado con shellcode codificado en Unicode para desencadenar un desbordamiento basado en pila y ejecutar comandos cuando se abre el archivo.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en Filetto de Utillyty (CVE-2020-37067)

Fecha de publicación:
03/02/2026
Idioma:
Español
El servidor FTP Filetto 1.0 contiene una vulnerabilidad de denegación de servicio en el procesamiento del comando FEAT que permite a los atacantes bloquear el servicio. Los atacantes pueden enviar un comando FEAT sobredimensionado con 11.008 bytes de caracteres repetidos para desencadenar un desbordamiento de búfer y finalizar el servicio FTP.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en OXID eShop (CVE-2019-25260)

Fecha de publicación:
03/02/2026
Idioma:
Español
Las versiones 6.x de OXID eShop anteriores a la 6.3.4 contienen una vulnerabilidad de inyección SQL en el parámetro 'sorting' que permite a los atacantes insertar contenido malicioso en la base de datos. Los atacantes pueden explotar la vulnerabilidad manipulando el parámetro sorting para inyectar código PHP en la base de datos y ejecutar código arbitrario a través de URLs manipuladas.
Gravedad CVSS v4.0: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en Claude Code de anthropics (CVE-2026-24052)

Fecha de publicación:
03/02/2026
Idioma:
Español
Claude Code es una herramienta de codificación agéntica. Antes de la versión 1.0.111, Claude Code contenía una validación de URL insuficiente en su mecanismo de verificación de dominio de confianza para solicitudes WebFetch. La aplicación utilizaba una función startsWith() para validar dominios de confianza (p. ej., docs.python.org, modelcontextprotocol.io), esto podría haber permitido a los atacantes registrar dominios como modelcontextprotocol.io.example.com que pasarían la validación. Esto podría permitir solicitudes automáticas a dominios controlados por el atacante sin el consentimiento del usuario, lo que podría llevar a la exfiltración de datos. Este problema ha sido parcheado en la versión 1.0.111.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/02/2026

Vulnerabilidad en Claude Code de anthropics (CVE-2026-24053)

Fecha de publicación:
03/02/2026
Idioma:
Español
Claude Code es una herramienta de codificación agéntica. Antes de la versión 2.0.74, debido a una falla de validación de comandos Bash al analizar la sintaxis de sobrescritura de ZSH, era posible eludir las restricciones de directorio y escribir archivos fuera del directorio de trabajo actual sin avisos de permiso del usuario. Explotar esto requería que el usuario utilizara ZSH y la capacidad de añadir contenido no confiable en una ventana de contexto de Claude Code. Este problema ha sido parcheado en la versión 2.0.74.
Gravedad CVSS v4.0: ALTA
Última modificación:
06/02/2026