Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-93942

Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of Untrusted Data vulnerability in ThemeREX Group Dwell dwell allows Object Injection.This issue affects Dwell: from n/a through 1.16.0.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/10/2026

CVE-2026-93943

Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of Untrusted Data vulnerability in ThemeREX Group Convex convex allows Object Injection.This issue affects Convex: from n/a through 1.16.0.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/10/2026

CVE-2026-93944

Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of Untrusted Data vulnerability in ThemeREX Group Camelia camelia allows Object Injection.This issue affects Camelia: from n/a through 1.2.15.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/10/2026

CVE-2026-93927

Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of Untrusted Data vulnerability in Axiomthemes Veto veto allows Object Injection.This issue affects Veto: from n/a through 1.6.0.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/10/2026

CVE-2026-93929

Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of Untrusted Data vulnerability in ThemeREX Group Travesia travesia allows Object Injection.This issue affects Travesia: from n/a through 1.1.16.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/10/2026

CVE-2026-93930

Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of Untrusted Data vulnerability in ThemeREX Group Tantra tantra allows Object Injection.This issue affects Tantra: from n/a through 2.9.0.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/10/2026

CVE-2026-93931

Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of Untrusted Data vulnerability in ThemeREX Group Smash smash allows Object Injection.This issue affects Smash: from n/a through 1.12.0.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/10/2026

CVE-2026-93932

Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of Untrusted Data vulnerability in ThemeREX Group Smart Casa smart-casa allows Object Injection.This issue affects Smart Casa: from n/a through 1.0.12.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/10/2026

CVE-2026-93933

Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of Untrusted Data vulnerability in ThemeREX Group Rosalinda rosalinda allows Object Injection.This issue affects Rosalinda: from n/a through 1.2.4.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/10/2026

CVE-2026-93934

Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of Untrusted Data vulnerability in ThemeREX Group Partiso partiso allows Object Injection.This issue affects Partiso: from n/a through 1.1.13.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/10/2026

CVE-2026-93935

Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** Deserialization of Untrusted Data vulnerability in ThemeREX Group Let's Play playhockey allows Object Injection.This issue affects Let's Play: from n/a through 1.1.15.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/10/2026

CVE-2026-104759

Fecha de publicación:
10/10/2026
Idioma:
Inglés
*** Pendiente de traducción *** The WPO365 | SEAMLESS WORDPRESS + MICROSOFT INTEGRATION (WPO365 | LOGIN) plugin for WordPress is vulnerable to Authentication Bypass via OIDC Nonce Replay in all versions up to, and including, 44.1 This is due to `Id_Token_Service_Deprecated::process_openidconnect_token()` using the incompatible WordPress core `wp_verify_nonce()` function to validate a nonce produced by `Nonce_Service::create_nonce()` — a 64-character hex value that `wp_verify_nonce()` can never successfully verify — causing the nonce check to silently fail without terminating authentication, so execution continues into `authenticate_oidc_user()` with the attacker-supplied `id_token`. This makes it possible for unauthenticated attackers who have obtained a previously-issued, valid `id_token` for a target account to replay that token and authenticate as any WordPress user, including administrators, resulting in full site takeover. This vulnerability is only exploitable when the `use_id_token_parser_v2` plugin option is enabled, as this is the configuration that routes token processing through the deprecated parser containing the broken nonce check.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/10/2026