Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en IBM Secure External Authentication Server e IBM Secure Proxy (CVE-2021-29749)

Fecha de publicación:
15/07/2021
Idioma:
Español
IBM Secure External Authentication Server versión 6.0.2 e IBM Secure Proxy versión 6.0.2 son vulnerables a un ataque de tipo server-side request forgery (SSRF). Esto puede permitir a un atacante autenticado enviar peticiones no autorizadas desde el sistema, conllevando potencialmente a la enumeración de la red o facilitar otros ataques. IBM X-Force ID: 201777
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/03/2024

Vulnerabilidad en las funciones vips_eye_point, eye.c#L83, vips_mask_point, mask.c#L85 en Libvips (CVE-2021-27847)

Fecha de publicación:
15/07/2021
Idioma:
Español
Una vulnerabilidad de división por cero en Libvips versión 8.10.5, en la función vips_eye_point, eye.c#L83, y en la función vips_mask_point, mask.c#L85
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/09/2023

Vulnerabilidad en una conexión TELNET con la contraseña molinkadmin en componentes de PENGLIXIN de Shenzhen el Microscopio Digital WiFi 3 de DEPSTECH (CVE-2020-12733)

Fecha de publicación:
15/07/2021
Idioma:
Español
Determinados componentes de PENGLIXIN de Shenzhen el Microscopio Digital WiFi 3 de DEPSTECH, como el usado por Shekar Endoscope, permiten una conexión TELNET con la contraseña molinkadmin para la cuenta molink
Gravedad CVSS v3.1: ALTA
Última modificación:
10/08/2021

Vulnerabilidad en el archivo jasper/src/libjasper/jpc/jpc_enc.c en JasPer Image Coding Toolkit (CVE-2021-27845)

Fecha de publicación:
15/07/2021
Idioma:
Español
Se presenta una vulnerabilidad de División por cero en JasPer Image Coding Toolkit versión 2.0, en el archivo jasper/src/libjasper/jpc/jpc_enc.c
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/09/2021

Vulnerabilidad en DEPSTECH WiFi Digital Microscope 3 (CVE-2020-12732)

Fecha de publicación:
15/07/2021
Idioma:
Español
DEPSTECH WiFi Digital Microscope 3, presenta un SSID por defecto de Jetion_xxxxxxxx con una contraseña de 12345678
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/07/2022

Vulnerabilidad en el SSID y la contraseña en DEPSTECH WiFi Digital Microscope 3 (CVE-2020-12734)

Fecha de publicación:
15/07/2021
Idioma:
Español
DEPSTECH WiFi Digital Microscope 3 permite a atacantes remotos cambiar el SSID y la contraseña, y exigir el pago de un rescate al propietario legítimo del dispositivo, ya que no hay forma de restablecer la configuración de fábrica
Gravedad CVSS v3.1: ALTA
Última modificación:
12/07/2022

Vulnerabilidad en algunas de las funcionalidades en los usuarios autenticados de la API en Icinga (CVE-2021-32743)

Fecha de publicación:
15/07/2021
Idioma:
Español
Icinga es un sistema de monitorización que comprueba la disponibilidad de los recursos de la red, notifica a los usuarios de las interrupciones y genera datos de rendimiento para informes. En las versiones anteriores a 2.11.10 y desde versión 2.12.0 hasta versión 2.12.4, algunas de las funcionalidades de Icinga 2 que requieren credenciales para servicios externos exponen dichas credenciales mediante la API a los usuarios autenticados de la API con permisos de lectura para los tipos de objetos correspondientes. IdoMysqlConnection y IdoPgsqlConnection (cada versión liberada) expone la contraseña del usuario usado para conectarse a la base de datos. IcingaDB (añadido en versión 2.12.0) expone la contraseña usada para conectarse al servidor Redis. ElasticsearchWriter (añadido en versión 2.8.0) expone la contraseña usada para conectarse al servidor Elasticsearch. Un atacante que obtenga estas credenciales puede hacerse pasar por Icinga a estos servicios y añadir, modificar y eliminar información allí. Si las credenciales con más permisos están en uso, el impacto aumenta acorde. A partir de las versiones 2.11.10 y 2.12.5, estas contraseñas ya no están expuestas por medio de la API. Como solución, los permisos de usuario de la API pueden restringirse para no permitir la consulta de los objetos afectados, ya sea enumerando explícitamente sólo los tipos de objetos requeridos para los permisos de consulta de objetos o aplicando una regla de filtro
Gravedad CVSS v3.1: ALTA
Última modificación:
03/11/2025

Vulnerabilidad en BLE en MagicMotion Flamingo 2 (CVE-2020-12730)

Fecha de publicación:
15/07/2021
Idioma:
Español
MagicMotion Flamingo 2 carece de encriptación BLE, permitiendo el rastreo de datos y la falsificación de paquetes
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/01/2023

Vulnerabilidad en MagicMotion Flamingo 2 (CVE-2020-12729)

Fecha de publicación:
15/07/2021
Idioma:
Español
MagicMotion Flamingo 2 carece de control de acceso para lectura de descriptores de dispositivos
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/06/2022

Vulnerabilidad en una tarjeta sd bajo com.vt.magicmotion/files/Pictures en MagicMotion Flamingo 2 para Android (CVE-2020-12731)

Fecha de publicación:
15/07/2021
Idioma:
Español
La aplicación MagicMotion Flamingo 2 para Android almacena datos en una tarjeta sd bajo com.vt.magicmotion/files/Pictures, por lo que pueden leerlo otras aplicaciones
Gravedad CVSS v3.1: ALTA
Última modificación:
03/08/2021

Vulnerabilidad en los permisos de carpeta en Acronis True Image en macOS (CVE-2020-25593)

Fecha de publicación:
15/07/2021
Idioma:
Español
Acronis True Image versiones hasta 2021 en macOS, permite una escalada de privilegios local de admin a root debido a permisos de carpeta no seguros
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/07/2021

Vulnerabilidad en una configuración del servicio XPC en Acronis True Image en macOS (CVE-2020-25736)

Fecha de publicación:
15/07/2021
Idioma:
Español
Acronis True Image versiones 2019 update 1 hasta 2021 update 1 en macOS, permite una escalada de privilegios local debido a una configuración no segura del servicio XPC
Gravedad CVSS v3.1: ALTA
Última modificación:
03/03/2023