Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2021-47854

Fecha de publicación:
21/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** DD-WRT version 45723 contains a buffer overflow vulnerability in the UPNP network discovery service that allows remote attackers to potentially execute arbitrary code. Attackers can send crafted M-SEARCH packets with oversized UUID payloads to trigger buffer overflow conditions on the target device.
Gravedad CVSS v4.0: ALTA
Última modificación:
26/01/2026

CVE-2021-47853

Fecha de publicación:
21/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.
Gravedad CVSS v4.0: ALTA
Última modificación:
01/02/2026

CVE-2021-47851

Fecha de publicación:
21/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Mini Mouse 9.2.0 contains a remote code execution vulnerability that allows attackers to execute arbitrary commands through an unauthenticated HTTP endpoint. Attackers can leverage the /op=command endpoint to download and execute payloads by sending crafted JSON requests with malicious script commands.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
02/02/2026

CVE-2021-47850

Fecha de publicación:
21/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Mini Mouse 9.2.0 contains a path traversal vulnerability that allows remote attackers to access arbitrary system files and directories through crafted HTTP requests. Attackers can retrieve sensitive files like win.ini and list contents of system directories such as C:\Users\Public by manipulating file and path parameters.
Gravedad CVSS v4.0: ALTA
Última modificación:
02/02/2026

CVE-2021-47849

Fecha de publicación:
21/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Mini Mouse 9.3.0 contains a path traversal vulnerability that allows attackers to access sensitive system directories through the device information endpoint. Attackers can retrieve file lists from system directories like /usr, /etc, and /var by manipulating file path parameters in API requests.
Gravedad CVSS v4.0: ALTA
Última modificación:
02/02/2026

CVE-2021-47852

Fecha de publicación:
21/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Rockstar Games Launcher 1.0.37.349 contains a privilege escalation vulnerability that allows authenticated users to modify the service executable with weak permissions. Attackers can replace the RockstarService.exe with a malicious binary to create a new administrator user and gain elevated system access.
Gravedad CVSS v4.0: ALTA
Última modificación:
26/01/2026

CVE-2021-47848

Fecha de publicación:
21/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Blitar Tourism 1.0 contains an authentication bypass vulnerability that allows attackers to bypass login by injecting SQL code through the username parameter. Attackers can manipulate the login request by sending a crafted username with SQL injection techniques to gain unauthorized administrative access.
Gravedad CVSS v4.0: ALTA
Última modificación:
26/01/2026

CVE-2021-47817

Fecha de publicación:
21/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenEMR 5.0.2.1 contains a cross-site scripting vulnerability that allows authenticated attackers to inject malicious JavaScript through user profile parameters. Attackers can exploit the vulnerability by crafting a malicious payload to download and execute a web shell, enabling remote command execution on the vulnerable OpenEMR instance.
Gravedad CVSS v4.0: MEDIA
Última modificación:
02/02/2026

CVE-2021-47802

Fecha de publicación:
21/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Tenda D151 and D301 routers contain an unauthenticated configuration download vulnerability that allows remote attackers to retrieve router configuration files. Attackers can send a request to /goform/getimage endpoint to download configuration data including admin credentials without authentication.
Gravedad CVSS v4.0: ALTA
Última modificación:
02/02/2026

CVE-2021-47770

Fecha de publicación:
21/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenPLC v3 contains an authenticated remote code execution vulnerability that allows attackers with valid credentials to inject malicious code through the hardware configuration interface. Attackers can upload a custom hardware layer with embedded reverse shell code that establishes a network connection to a specified IP and port, enabling remote command execution.
Gravedad CVSS v4.0: ALTA
Última modificación:
26/01/2026

CVE-2021-47778

Fecha de publicación:
21/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** GetSimple CMS My SMTP Contact Plugin 1.1.2 contains a PHP code injection vulnerability. An authenticated administrator can inject arbitrary PHP code through plugin configuration parameters, leading to remote code execution on the server.
Gravedad CVSS v4.0: ALTA
Última modificación:
26/01/2026

CVE-2021-47830

Fecha de publicación:
21/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** GetSimple CMS My SMTP Contact Plugin 1.1.1 contains a cross-site request forgery (CSRF) vulnerability. Attackers can craft a malicious webpage that, when visited by an authenticated administrator, can change SMTP configuration settings in the plugin. This may allow unauthorized changes but does not directly enable remote code execution.
Gravedad CVSS v4.0: MEDIA
Última modificación:
26/01/2026