Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-76586
Fecha de publicación:
29/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Appointment Booking Calendar Plugin and Scheduling Plugin WordPress plugin before 1.6.3 does not verify the amount actually paid against the server-side price staged for a booking when confirming an online payment, allowing unauthenticated users to have a paid appointment approved for a fraction of its price.
Gravedad: Pendiente de análisis
Última modificación:
29/08/2026

CVE-2026-77007
Fecha de publicación:
29/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The HEL Online Classroom: AI-powered Online Classrooms WordPress plugin through 1.0.3 does not perform any authorisation check on one of its REST API routes, allowing unauthenticated users to retrieve its stored settings, including the shared secret used to sign API requests to the connected BigBlueButton server.
Gravedad: Pendiente de análisis
Última modificación:
29/08/2026

CVE-2026-76547
Fecha de publicación:
29/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The User Profile Builder WordPress plugin before 4.0.1 does not validate the type of data being deserialized when importing a configuration file, allowing high privilege users such as administrators to conduct PHP Object Injection. The affected feature is a free add-on which is disabled by default, and no POP chain is present in the User Profile Builder WordPress plugin before 4.0.1 itself, so further impact requires a suitable gadget from another installed User Profile Builder WordPress plugin before 4.0.1 or .
Gravedad: Pendiente de análisis
Última modificación:
29/08/2026

CVE-2026-76548
Fecha de publicación:
29/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The User Profile Builder WordPress plugin before 4.0.1 does not properly restrict its front-end file upload feature, granting unauthenticated visitors capabilities reserved to privileged roles. This allows them to list the site's media library and to modify unpublished posts, pages and media items belonging to other users.
Gravedad: Pendiente de análisis
Última modificación:
29/08/2026

CVE-2026-19430
Fecha de publicación:
29/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Catfolders Document Gallery Pro WordPress plugin before 2.0.7 does not authorise some of its REST API routes, and the token identifying the requested content is forgeable client side, allowing unauthenticated users to list and download the contents of folders that were never published on the site.
Gravedad: Pendiente de análisis
Última modificación:
29/08/2026

CVE-2026-76546
Fecha de publicación:
29/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The User Profile Builder WordPress plugin before 4.0.1 does not escape the output of one of its optional shortcodes, allowing users with a role as low as contributor to perform Stored Cross-Site Scripting attacks against any user viewing the affected content, including administrators. The shortcode is not enabled by default.
Gravedad: Pendiente de análisis
Última modificación:
29/08/2026

CVE-2026-18234
Fecha de publicación:
29/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The MStore API WordPress plugin before 4.21.1 does not verify that the order targeted by its wallet payment handling belongs to the requester, and does not deduct the wallet balance for most payment methods, allowing any authenticated user, including Subscribers, to mark arbitrary orders as paid without any payment being taken.
Gravedad: Pendiente de análisis
Última modificación:
29/08/2026

CVE-2026-18233
Fecha de publicación:
29/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The MStore API WordPress plugin before 4.21.1 does not verify that the order targeted by one of its delivery endpoints belongs to the requester, allowing any authenticated user, including Subscribers, to mark arbitrary orders as completed and paid without any payment being made.
Gravedad: Pendiente de análisis
Última modificación:
29/08/2026

CVE-2026-17520
Fecha de publicación:
29/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Newsletters WordPress plugin before 4.17 does not generate its API key using a sufficiently random source, deriving it from a publicly known value, allowing unauthenticated attackers to compute the key and perform privileged actions such as adding and deleting subscribers and sending emails, when the optional API has been enabled.
Gravedad: Pendiente de análisis
Última modificación:
29/08/2026

CVE-2026-17522
Fecha de publicación:
29/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Newsletters WordPress plugin before 4.17 does not perform any nonce or capability check when saving one of its settings screens, and writes every submitted parameter into its own options, allowing attackers to make a logged in administrator overwrite arbitrary Newsletters WordPress plugin before 4.17 settings, including the credential protecting its API, via a Cross-Site Request Forgery attack.
Gravedad: Pendiente de análisis
Última modificación:
29/08/2026

CVE-2026-16600
Fecha de publicación:
29/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The SmartAIPress WordPress plugin through 1.2.0 does not perform a capability check on one of its AJAX actions and does not validate a user-supplied URL before fetching it server-side, allowing users with subscriber-level access and above to make the site retrieve arbitrary internal or external URLs and read the response, resulting in a full-read Server-Side Request Forgery.
Gravedad: Pendiente de análisis
Última modificación:
29/08/2026

CVE-2026-16947
Fecha de publicación:
29/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Total processing card payments for WooCommerce WordPress plugin through 7.3 does not validate a user-supplied path before using it to build a server-side verification request, and does not verify the authenticity of the response, allowing unauthenticated attackers to redirect that request to an arbitrary host (disclosing the merchant's payment-gateway credentials) and to forge a success response that marks arbitrary WooCommerce orders as paid.
Gravedad: Pendiente de análisis
Última modificación:
29/08/2026
Suscribirse a Vulnerabilidades