Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2020-36985

Fecha de publicación:

28/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** IP Watcher 3.0.0.30 contains an unquoted service path vulnerability in its Windows service configuration that allows local attackers to execute arbitrary code. Attackers can exploit the unquoted binary path to inject malicious executables that will be launched with elevated LocalSystem privileges during service startup.

Gravedad CVSS v4.0: ALTA

Última modificación:

28/01/2026

CVE-2020-36986

Fecha de publicación:

28/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Prey 1.9.6 contains an unquoted service path vulnerability that allows local users to potentially execute code with elevated privileges. Attackers can exploit the unquoted path in the CronService to insert malicious code that would execute during application startup or system reboot.

Gravedad CVSS v4.0: ALTA

Última modificación:

28/01/2026

CVE-2020-36987

Fecha de publicación:

28/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Program Access Controller 1.2.0.0 contains an unquoted service path vulnerability in PACService.exe that allows local attackers to execute code with elevated privileges. Attackers can exploit the unquoted path during system startup or reboot to inject and run malicious executables with LocalSystem permissions.

Gravedad CVSS v4.0: ALTA

Última modificación:

28/01/2026

CVE-2020-36988

Fecha de publicación:

28/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** PDW File Browser version 1.3 contains stored and reflected cross-site scripting vulnerabilities that allow authenticated attackers to inject malicious scripts through file rename and path parameters. Attackers can craft malicious URLs or rename files with XSS payloads to execute arbitrary JavaScript in victims&#39; browsers when they access the file browser.

Gravedad CVSS v4.0: MEDIA

Última modificación:

28/01/2026

CVE-2020-36989

Fecha de publicación:

28/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** ForensiT AppX Management Service 2.2.0.4 contains an unquoted service path vulnerability that allows local users to potentially execute arbitrary code with elevated system privileges. Attackers can exploit the unquoted path in the service configuration to inject malicious code that would execute with LocalSystem account permissions during service startup.

Gravedad CVSS v4.0: ALTA

Última modificación:

28/01/2026

CVE-2020-36984

Fecha de publicación:

28/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** EPSON 1.124 contains an unquoted service path vulnerability in the SENADB service that allows local attackers to execute code with elevated system privileges. Attackers can exploit the unquoted path in C:\Program Files (x86)\EPSON_P2B\Printer Software\Status Monitor\ to inject malicious executables that will run with LocalSystem permissions.

Gravedad CVSS v4.0: ALTA

Última modificación:

28/01/2026

CVE-2026-1391

Fecha de publicación:

28/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Vzaar Media Management plugin for WordPress is vulnerable to Reflected Cross-Site Scripting in all versions up to, and including, 1.2 due to insufficient input sanitization and output escaping on the $_SERVER[&#39;PHP_SELF&#39;] variable. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/01/2026

CVE-2026-1398

Fecha de publicación:

28/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Change WP URL plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 1.0. This is due to missing or incorrect nonce validation on the &#39;change-wp-url&#39; page. This makes it possible for unauthenticated attackers to change the WP Login URL via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/01/2026

CVE-2026-1399

Fecha de publicación:

28/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** The WP Google Ad Manager Plugin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via admin settings in all versions up to, and including, 1.1.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/01/2026

CVE-2026-0483

Fecha de publicación:

28/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** Stored Cross-Site Scripting (XSS) vulnerability in the PDF file upload functionality of Live Helper Chat, versions prior to 4.72. An attacker can upload a malicious PDF file containing an XSS payload, which will be executed in the user&#39;s context when they download and open the file via the link generated by the application. The vulnerability allows arbitrary JavaScript code to be executed in the user&#39;s local context.

Gravedad CVSS v4.0: MEDIA

Última modificación:

28/01/2026

CVE-2026-0844

Fecha de publicación:

28/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Simple User Registration plugin for WordPress is vulnerable to privilege escalation in versions up to, and including, 6.7 due to insufficient restriction on the &#39;profile_save_field&#39; function. This makes it possible for authenticated attackers, with minimal permissions such as a subscriber, to modify their user role by supplying the &#39;wp_capabilities&#39; parameter during a profile update.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/01/2026

CVE-2026-1280

Fecha de publicación:

28/01/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Frontend File Manager Plugin for WordPress is vulnerable to unauthorized file sharing due to a missing capability check on the &#39;wpfm_send_file_in_email&#39; AJAX action in all versions up to, and including, 23.5. This makes it possible for unauthenticated attackers to share arbitrary uploaded files via email by supplying a file ID. Since file IDs are sequential integers, attackers can enumerate all uploaded files on the site and exfiltrate sensitive data that was intended to be restricted to administrators only.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/01/2026

Suscribirse a Vulnerabilidades