Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2020-37054

Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Navigate CMS 2.8.7 contains a cross-site request forgery vulnerability that allows attackers to upload malicious extensions through a crafted HTML page. Attackers can trick authenticated administrators into executing arbitrary file uploads by leveraging the extension upload functionality without additional validation.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/01/2026

CVE-2020-37056

Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Crystal Shard http-protection 0.2.0 contains an IP spoofing vulnerability that allows attackers to bypass protection middleware by manipulating request headers. Attackers can hardcode consistent IP values across X-Forwarded-For, X-Client-IP, and X-Real-IP headers to circumvent security checks and gain unauthorized access.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/01/2026

CVE-2020-37057

Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Online-Exam-System 2015 contains a SQL injection vulnerability in the feedback module that allows attackers to manipulate database queries through the 'fid' parameter. Attackers can inject malicious SQL code into the 'fid' parameter to potentially extract, modify, or delete database information.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/01/2026

CVE-2020-37043

Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** 10-Strike Bandwidth Monitor 3.9 contains a buffer overflow vulnerability that allows attackers to bypass SafeSEH, ASLR, and DEP protections through carefully crafted input. Attackers can exploit the vulnerability by sending a malicious payload to the application's registration key input, enabling remote code execution and launching arbitrary system commands.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/01/2026

CVE-2020-37044

Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenCTI 3.3.1 is vulnerable to a reflected cross-site scripting (XSS) attack via the /graphql endpoint. An attacker can inject arbitrary JavaScript code by sending a crafted GET request with a malicious payload in the query string, leading to execution of JavaScript in the victim's browser. For example, a request to /graphql?'"-->alert('Raif_Berkay') will trigger an alert. This vulnerability was discovered by Raif Berkay Dincel and confirmed on Linux Mint and Windows 10.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/01/2026

CVE-2020-37046

Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Sistem Informasi Pengumuman Kelulusan Online 1.0 contains a cross-site request forgery vulnerability that allows attackers to add unauthorized admin users through the tambahuser.php endpoint. Attackers can craft a malicious HTML form to submit admin credentials and create new administrative accounts without the victim's consent.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/01/2026

CVE-2020-37049

Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Frigate 3.36.0.9 contains a local buffer overflow vulnerability in the Command Line input field that allows attackers to execute arbitrary code. Attackers can craft a malicious payload to overflow the buffer, bypass DEP, and execute commands like launching calc.exe through a specially crafted input sequence.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/01/2026

CVE-2020-37050

Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Quick Player 1.3 contains a buffer overflow vulnerability that allows attackers to execute arbitrary code by crafting a malicious .m3l file with carefully constructed payload. Attackers can trigger the vulnerability by loading a specially crafted file through the application's file loading mechanism, potentially enabling remote code execution.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/01/2026

CVE-2020-37051

Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Online-Exam-System 2015 contains a time-based blind SQL injection vulnerability in the feedback form that allows attackers to extract database password hashes. Attackers can exploit the 'feed.php' endpoint by crafting malicious payload requests that use time delays to systematically enumerate user password characters.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/01/2026

CVE-2020-37036

Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** RM Downloader 2.50.60 contains a local buffer overflow vulnerability in the 'Load' parameter that allows attackers to execute arbitrary code by overwriting memory. Attackers can craft a malicious payload with an egg hunter technique to bypass memory protections and execute commands like launching calc.exe.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/01/2026

CVE-2020-37038

Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Code Blocks 20.03 contains a denial of service vulnerability that allows attackers to crash the application by manipulating input in the FSymbols search field. Attackers can paste a large payload of 5000 repeated characters into the search field to trigger an application crash.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/01/2026

CVE-2020-37039

Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Frigate 2.02 contains a denial of service vulnerability that allows attackers to crash the application by sending oversized input to the command line interface. Attackers can generate a payload of 8000 repeated characters and paste it into the application's command line field to trigger an application crash.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/01/2026