Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en admin/navbar.php?action=add_page en emlog (CVE-2021-30081)

Fecha de publicación:
24/05/2021
Idioma:
Español
Se detectó un problema en emlog versión 6.0.0stable. Se presenta una vulnerabilidad de inyección SQL que puede ejecutar cualquier instrucción SQL y consultar datos confidenciales del servidor por medio de admin/navbar.php?action=add_page
Gravedad CVSS v3.1: ALTA
Última modificación:
27/05/2021

Vulnerabilidad en el admin/dashboard en Gris CMS (CVE-2021-30082)

Fecha de publicación:
24/05/2021
Idioma:
Español
Se detectó un problema en Gris CMS versión v0.1. Se presenta una vulnerabilidad de tipo XSS persistente que permite a atacantes remotos inyectar un script web o HTML arbitrario por medio del admin/dashboard
Gravedad CVSS v3.1: MEDIA
Última modificación:
27/05/2021

Vulnerabilidad en el controlador del kernel de la GPU Arm Mali en Bifrost, Valhall y Midgard (CVE-2021-29256)

Fecha de publicación:
24/05/2021
Idioma:
Español
El controlador del kernel de la GPU Arm Mali, permite a un usuario no privilegiado acceder a la memoria liberada, conllevando a una divulgación de información o una escalada de privilegios de root. Esto afecta a Bifrost versiones r16p0 hasta r29p0 anteriores a r30p0, Valhall r19p0 hasta r29p0 anteriores a r30p0 y Midgard versiones r28p0 hasta r30p0
Gravedad CVSS v3.1: ALTA
Última modificación:
03/11/2025

Vulnerabilidad en un AuthValue en un Mesh Provisioning en el perfil de Bluetooth Mesh (CVE-2020-26556)

Fecha de publicación:
24/05/2021
Idioma:
Español
Un Mesh Provisioning en el perfil de Bluetooth Mesh versiones 1.0 y 1.0.1, puede permitir a un dispositivo cercano, capaz de conducir un ataque de fuerza bruta con éxito en un AuthValue insuficientemente aleatorio antes de que se agote el tiempo de espera del procedimiento de aprovisionamiento, para completar la autenticación al aprovechar Malleable Commitment
Gravedad CVSS v3.1: ALTA
Última modificación:
29/04/2022

Vulnerabilidad en los archivos app/system/language/admin/language_general.class.php y app/system/include/function/file.func.php en MetInfo (CVE-2020-20907)

Fecha de publicación:
24/05/2021
Idioma:
Español
MetInfo versión 7.0 beta, está afectado por una vulnerabilidad de modificación de archivos. Unos atacantes pueden eliminar y modificar archivos ini en los archivos app/system/language/admin/language_general.class.php y app/system/include/function/file.func.php
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
05/10/2022

Vulnerabilidad en la función apng_do_inverse_blend en la biblioteca libavcodec/pngenc.c en FFmpeg (CVE-2020-21041)

Fecha de publicación:
24/05/2021
Idioma:
Español
Una vulnerabilidad de Desbordamiento de Búfer se presenta en FFmpeg versión 4.1, por medio de la función apng_do_inverse_blend en la biblioteca libavcodec/pngenc.c, que podría permitir a un usuario malicioso remoto causar una Denegación de Servicio
Gravedad CVSS v3.1: ALTA
Última modificación:
10/12/2021

Vulnerabilidad en BD_ADDR del dispositivo peer en un emparejamiento de código PIN BR/EDR heredado de Bluetooth en la Bluetooth Core Specification (CVE-2020-26555)

Fecha de publicación:
24/05/2021
Idioma:
Español
Un emparejamiento de código PIN BR/EDR heredado de Bluetooth en Bluetooth Core Specification versiones 1.0B hasta 5.2, puede permitir a un dispositivo cercano no autenticado falsificar el BD_ADDR del dispositivo peer para completar el emparejamiento sin conocer el PIN
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/11/2025

Vulnerabilidad en un Mesh Provisioning en el perfil de Bluetooth Mesh (CVE-2020-26557)

Fecha de publicación:
24/05/2021
Idioma:
Español
Un Mesh Provisioning en el perfil de Bluetooth Mesh versiones 1.0 y 1.0.1, puede permitir a un dispositivo cercano (sin la posesión del AuthValue usado en el protocolo de aprovisionamiento) determinar el AuthValue por medio de un ataque de fuerza bruta (a menos que el AuthValue sea lo suficientemente aleatorio y se cambie cada vez)
Gravedad CVSS v3.1: ALTA
Última modificación:
04/11/2025

Vulnerabilidad en el emparejamiento seguro de Bluetooth LE y BR/EDR en Bluetooth Core Specification (CVE-2020-26558)

Fecha de publicación:
24/05/2021
Idioma:
Español
El emparejamiento seguro de Bluetooth LE y BR/EDR en Bluetooth Core Specification versiones 2.1 hasta 5.2, puede permitir a un atacante de tipo man-in-the-middle cercano identificar el Passkey usada durante el emparejamiento (en el procedimiento de autenticación de Passkey) mediante el reflejo de la clave pública y la evidencia de autenticació del dispositivo de inicio, potencialmente permitiendo a este atacante completar el emparejamiento autenticado con el dispositivo que responde usando la contraseña correcta para la sesión de emparejamiento. La metodología de ataque determina el valor de la Clave un bit a la vez
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/11/2025

Vulnerabilidad en el Bluetooth Mesh Provisioning en el perfil de Bluetooth Mesh (CVE-2020-26559)

Fecha de publicación:
24/05/2021
Idioma:
Español
El Bluetooth Mesh Provisioning en el perfil de Bluetooth Mesh versiones 1.0 y 1.0.1, puede permitir a un dispositivo cercano (que participe en el protocolo de aprovisionamiento) identificar el AuthValue usado dada la clave pública del Provisionador y el número de confirmación y el nonce proporcionado por el dispositivo de aprovisionamiento. Esto podría permitir a un dispositivo sin AuthValue completar el aprovisionamiento sin forzar el AuthValue por fuerza bruta
Gravedad CVSS v3.1: ALTA
Última modificación:
04/11/2025

Vulnerabilidad en el Bluetooth Mesh Provisioning en el perfil de Bluetooth Mesh (CVE-2020-26560)

Fecha de publicación:
24/05/2021
Idioma:
Español
El Bluetooth Mesh Provisioning en el perfil de Bluetooth Mesh versiones 1.0 y 1.0.1, puede permitir a un dispositivo cercano, que refleja la evidencia de autenticación de un proveedor, completar la autenticación sin poseer el AuthValue y, potencialmente, adquirir una NetKey y AppKey
Gravedad CVSS v3.1: ALTA
Última modificación:
04/11/2025

Vulnerabilidad en el control de acceso en Keystone para Node.js (CVE-2021-32624)

Fecha de publicación:
24/05/2021
Idioma:
Español
Keystone versión 5 es una plataforma CMS de código abierto para crear aplicaciones Node.js. Este aviso de seguridad se relaciona con una capacidad recién descubierta en nuestra infraestructura de consultas para exponer directa o indirectamente los valores de los campos privados, omitiendo el control de acceso configurado. Este es un ataque de Oracle relacionado con el control de acceso en el sentido de que el método de ataque guía al atacante durante su intento de revelar información a la que no presenta acceso. La complejidad de completar el ataque está limitada por algunos comportamientos que dependen de la longitud y la fidelidad de la información expuesta. En algunas circunstancias, se pueden determinar valores de campo o metadatos de valor de campo, a pesar de que el campo o la lista tenga configurado el control de acceso de "read". Si usa campos o listas privados, puede verse afectado. No presentan parches en este momento. No se presentan soluciones alternativas en este momento
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/05/2021