Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2021-47724
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** STVS ProVision 5.9.10 contains a path traversal vulnerability that allows authenticated attackers to access arbitrary files by manipulating the files parameter in the archive download functionality. Attackers can send GET requests to /archive/download with directory traversal sequences to read sensitive system files like /etc/passwd.
Gravedad CVSS v4.0: ALTA
Última modificación:
09/12/2025

CVE-2021-47703
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** OpenBMCS 2.4 contains an unauthenticated SSRF vulnerability that allows attackers to bypass firewalls and initiate service and network enumeration on the internal network through the affected application, allowing hijacking of current sessions. Attackers can specify an external domain in the 'ip' parameter to force the application to make an HTTP request to an arbitrary destination host.
Gravedad CVSS v4.0: MEDIA
Última modificación:
09/12/2025

CVE-2021-47704
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** OpenBMCS 2.4 contains an SQL injection vulnerability that allows authenticated attackers to manipulate database queries by injecting arbitrary SQL code. Attackers can send GET requests to /debug/obix_test.php with malicious 'id' values to extract database information.
Gravedad CVSS v4.0: ALTA
Última modificación:
09/12/2025

CVE-2021-47705
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** COMMAX UMS Client ActiveX Control 1.7.0.2 contains a heap-based buffer overflow vulnerability that allows attackers to execute arbitrary code by providing excessively long string arrays through multiple functions. Attackers can exploit improper boundary validation in CNC_Ctrl.dll to cause heap corruption and potentially gain system-level access.
Gravedad CVSS v4.0: ALTA
Última modificación:
09/12/2025

CVE-2021-47706
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** COMMAX Biometric Access Control System 1.0.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to access sensitive information and circumvent physical controls in smart homes and buildings by exploiting cookie poisoning. Attackers can forge cookies to bypass authentication and disclose sensitive information.
Gravedad CVSS v4.0: ALTA
Última modificación:
09/12/2025

CVE-2021-47707
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** COMMAX CVD-Axx DVR 5.1.4 contains weak default administrative credentials that allow remote password attacks and disclose RTSP stream. Attackers can exploit this by sending a POST request with the 'passkey' parameter set to '1234', allowing them to access the web control panel.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
09/12/2025

CVE-2021-47708
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** COMMAX Smart Home System CDP-1020n contains an SQL injection vulnerability that allows attackers to bypass authentication by injecting arbitrary SQL code through the 'id' parameter in 'loginstart.asp'. Attackers can exploit this by sending a POST request with malicious 'id' values to manipulate database queries and gain unauthorized access.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
09/12/2025

CVE-2021-47709
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** COMMAX Smart Home System allows an unauthenticated attacker to change configuration and cause denial-of-service through the setconf endpoint. Attackers can trigger a denial-of-service scenario by sending a malformed request to the setconf endpoint.
Gravedad CVSS v4.0: ALTA
Última modificación:
09/12/2025

CVE-2021-47702
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** OpenBMCS 2.4 contains a CSRF vulnerability that allows attackers to perform actions with administrative privileges by exploiting the sendFeedback.php endpoint. Attackers can submit malicious requests to trigger unintended actions, such as sending emails or modifying system settings.
Gravedad CVSS v4.0: MEDIA
Última modificación:
09/12/2025

CVE-2021-47701
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** OpenBMCS 2.4 allows an attacker to escalate privileges from a read user to an admin user by manipulating permissions and exploiting a vulnerability in the update_user_permissions.php script. Attackers can submit a malicious HTTP POST request to PHP scripts in '/plugins/useradmin/' directory.
Gravedad CVSS v4.0: ALTA
Última modificación:
09/12/2025

CVE-2025-66625
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Umbraco is an ASP.NET CMS. Due to unsafe handling and deletion of temporary files in versions 10.0.0 through 13.12.0, during the dictionary upload process an attacker with access to the backoffice can trigger predictable requests to temporary file paths. The application’s error responses (HTTP 500 when a file exists, 404 when it does not) allow the attacker to enumerate the existence of arbitrary files on the server’s filesystem. This vulnerability does not allow reading or writing file contents. In certain configurations, incomplete clean-up of temporary upload files may additionally expose the NTLM hash of the Windows account running the Umbraco application. This issue is fixed in version 13.12.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/12/2025

CVE-2025-64113
Fecha de publicación:
09/12/2025
Idioma:
Inglés
*** Pendiente de traducción *** Emby Server is a user-installable home media server. Versions below 4.9.1.81 allow an attacker to gain full administrative access to an Emby Server (for Emby Server administration, not at the OS level). Other than network access, no specific preconditions need to be fulfilled for a server to be vulnerable. This issue is fixed in version 4.9.1.81.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
09/12/2025
Suscribirse a Vulnerabilidades