Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2020-37044
Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenCTI 3.3.1 is vulnerable to a reflected cross-site scripting (XSS) attack via the /graphql endpoint. An attacker can inject arbitrary JavaScript code by sending a crafted GET request with a malicious payload in the query string, leading to execution of JavaScript in the victim's browser. For example, a request to /graphql?'"-->alert('Raif_Berkay') will trigger an alert. This vulnerability was discovered by Raif Berkay Dincel and confirmed on Linux Mint and Windows 10.
Gravedad CVSS v4.0: MEDIA
Última modificación:
13/02/2026

CVE-2020-37036
Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** RM Downloader 2.50.60 contains a local buffer overflow vulnerability in the 'Load' parameter that allows attackers to execute arbitrary code by overwriting memory. Attackers can craft a malicious payload with an egg hunter technique to bypass memory protections and execute commands like launching calc.exe.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/02/2026

CVE-2020-37038
Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Code Blocks 20.03 contains a denial of service vulnerability that allows attackers to crash the application by manipulating input in the FSymbols search field. Attackers can paste a large payload of 5000 repeated characters into the search field to trigger an application crash.
Gravedad CVSS v4.0: MEDIA
Última modificación:
03/02/2026

CVE-2020-37039
Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Frigate 2.02 contains a denial of service vulnerability that allows attackers to crash the application by sending oversized input to the command line interface. Attackers can generate a payload of 8000 repeated characters and paste it into the application's command line field to trigger an application crash.
Gravedad CVSS v4.0: MEDIA
Última modificación:
03/02/2026

CVE-2020-37040
Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Code Blocks 17.12 contains a local buffer overflow vulnerability that allows attackers to execute arbitrary code by crafting a malicious file name with Unicode characters. Attackers can trigger the vulnerability by pasting a specially crafted payload into the file name field during project creation, potentially executing system commands like calc.exe.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/02/2026

CVE-2020-37042
Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Frigate Professional 3.36.0.9 contains a local buffer overflow vulnerability in the 'Find Computer' feature that allows attackers to execute arbitrary code by overflowing the computer name input field. Attackers can craft a malicious payload that triggers a buffer overflow, enabling code execution and launching calculator as a proof of concept.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/02/2026

CVE-2020-37041
Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** OpenCTI 3.3.1 is vulnerable to a directory traversal attack via the static/css endpoint. An unauthenticated attacker can read arbitrary files from the filesystem by sending crafted GET requests with path traversal sequences (e.g., '../') in the URL. For example, requesting /static/css//../../../../../../../../etc/passwd returns the contents of /etc/passwd. This vulnerability was discovered by Raif Berkay Dincel and confirmed on Linux Mint and Windows 10.
Gravedad CVSS v4.0: ALTA
Última modificación:
13/02/2026

CVE-2020-37033
Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Infor Storefront B2B 1.0 contains a SQL injection vulnerability that allows attackers to manipulate database queries through the 'usr_name' parameter in login requests. Attackers can exploit the vulnerability by injecting malicious SQL code into the 'usr_name' parameter to potentially extract or modify database information.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/02/2026

CVE-2020-37034
Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** HelloWeb 2.0 contains an arbitrary file download vulnerability that allows remote attackers to download system files by manipulating filepath and filename parameters. Attackers can send crafted GET requests to download.asp with directory traversal to access sensitive configuration and system files.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/02/2026

CVE-2020-37035
Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** e-Learning PHP Script 0.1.0 contains a SQL injection vulnerability in the search functionality that allows attackers to manipulate database queries through unvalidated user input. Attackers can inject malicious SQL code in the 'search' parameter to potentially extract, modify, or access sensitive database information.
Gravedad CVSS v4.0: ALTA
Última modificación:
03/02/2026

CVE-2020-37029
Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** FTPDummy 4.80 contains a local buffer overflow vulnerability in its preference file handling that allows attackers to execute arbitrary code. Attackers can craft a malicious preference file with carefully constructed shellcode to trigger a structured exception handler overwrite and execute system commands.
Gravedad CVSS v4.0: ALTA
Última modificación:
04/02/2026

CVE-2020-37031
Fecha de publicación:
30/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** Simple Startup Manager 1.17 contains a local buffer overflow vulnerability that allows attackers to execute arbitrary code by overwriting memory through the 'File' input parameter. Attackers can craft a malicious payload with 268 bytes to trigger code execution, bypassing DEP and overwriting memory addresses to launch calc.exe.
Gravedad CVSS v4.0: ALTA
Última modificación:
04/02/2026
Suscribirse a Vulnerabilidades