Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-3426
Fecha de publicación:
13/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** The RTMKit Addons for Elementor plugin for WordPress is vulnerable to unauthorized modification of data due to missing capability checks on the save_widget() and reset_all_widgets() functions in all versions up to, and including, 2.0.2. This makes it possible for authenticated attackers, with Author-level access and above, to modify or reset site-wide widget configurations.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/05/2026

CVE-2026-35506
Fecha de publicación:
13/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** ELECOM wireless LAN access point devices contain an OS command injection vulnerability in processing of ping_ip_addr parameter. If processing a crafted request sent by a logged-in user, an arbitrary OS command may be executed.
Gravedad CVSS v4.0: ALTA
Última modificación:
13/05/2026

CVE-2026-25107
Fecha de publicación:
13/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** ELECOM wireless LAN access point devices use a hard-coded cryptographic key when creating backups of configuration files. An attacker who knows the encryption key can tamper the configuration file of the product, and a victim administrator may be tricked to use a crafted configuration file.
Gravedad CVSS v4.0: MEDIA
Última modificación:
13/05/2026

CVE-2026-6429
Fecha de publicación:
13/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** When asked to both use a `.netrc` file for credentials and to follow HTTP<br /> redirects, libcurl could leak the password used for the first host to the<br /> followed-to host under certain circumstances.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/05/2026

CVE-2026-5773
Fecha de publicación:
13/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** libcurl might in some circumstances reuse the wrong connection for SMB(S)<br /> transfers.<br /> <br /> libcurl features a pool of recent connections so that subsequent requests can<br /> reuse an existing connection to avoid overhead.<br /> <br /> When reusing a connection a range of criteria must be met. Due to a logical<br /> error in the code, a network transfer operation that was requested by an<br /> application could wrongfully reuse an existing SMB connection to the same<br /> server that was using a different &amp;#39;share&amp;#39; than the new subsequent transfer<br /> should.<br /> <br /> This could in unlucky situations lead to the download of the wrong file or the<br /> upload of a file to the wrong place. When this happens, the same credentials<br /> are used and the server name is the same.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/05/2026

CVE-2026-5545
Fecha de publicación:
13/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** libcurl might in some circumstances reuse the wrong connection when asked to<br /> do an authenticated HTTP(S) request after a Negotiate-authenticated one, when<br /> both use the same host.<br /> <br /> libcurl features a pool of recent connections so that subsequent requests can<br /> reuse an existing connection to avoid overhead.<br /> <br /> When reusing a connection a range of criteria must be met. Due to a logical<br /> error in the code, a request that was issued by an application could<br /> wrongfully reuse an existing connection to the same server that was<br /> authenticated using different credentials.<br /> <br /> An application that first uses Negotiate authentication to a server with<br /> `user1:password1` and then does another operation to the same server asking<br /> for any authentication method but for `user2:password2` (while the previous<br /> connection is still alive) - the second request gets confused and wrongly<br /> reuses the same connection and sends the new request over that connection<br /> thinking it uses a mix of user1&amp;#39;s and user2&amp;#39;s credentials when it is in fact<br /> still using the connection authenticated for user1...
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/05/2026

CVE-2026-6253
Fecha de publicación:
13/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** curl might erroneously pass on credentials for a first proxy to a second<br /> proxy.<br /> <br /> This can happen when the following conditions are true:<br /> <br /> 1. curl is setup to use specific different proxies for different URL schemes<br /> 2. the first proxy needs credentials<br /> 3. the second proxy uses no credentials<br /> 4. while using the first proxy (using say `http://`), curl is asked to follow<br /> a redirect to a URL using another scheme (say `https://`), accessed using a<br /> second, different, proxy
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/05/2026

CVE-2026-4782
Fecha de publicación:
13/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Avada Builder plugin for WordPress is vulnerable to Arbitrary File Read in all versions up to, and including, 3.15.2 via the &amp;#39;fusion_get_svg_from_file&amp;#39; function with the &amp;#39;custom_svg&amp;#39; parameter of the &amp;#39;fusion_section_separator&amp;#39; shortcode. This makes it possible for authenticated attackers, with Subscriber-level access and above, to read the contents of arbitrary files on the server, which can contain sensitive information. The vulnerability was partially patched in version 3.15.2 and fully patched in version 3.15.3.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/05/2026

CVE-2026-4798
Fecha de publicación:
13/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Avada Builder plugin for WordPress is vulnerable to time-based SQL Injection via the ‘product_order’ parameter in all versions up to, and including, 3.15.1 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. Note: The vulnerability can only be exploited if WooCommerce was previously used and then deactivated.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/05/2026

CVE-2026-44931
Fecha de publicación:
13/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** The newly introduced RecordUsage D-Bus method https://gitlab.freedesktop.org/pwithnall/malcontent/-/blob/0.14.0/libmalcontent-timer/child-timer-service.c in<br /> malcontent-timerd allows arbitrary users in the system to slowly fill up disk space<br /> in /var/lib/malcontent-timerd
Gravedad CVSS v4.0: MEDIA
Última modificación:
13/05/2026

CVE-2026-4873
Fecha de publicación:
13/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability exists where a connection requiring TLS incorrectly reuses an<br /> existing unencrypted connection from the same connection pool. If an initial<br /> transfer is made in clear-text (via IMAP, SMTP, or POP3), a subsequent request<br /> to that same host bypasses the TLS requirement and instead transmit data<br /> unencrypted.
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/05/2026

CVE-2026-41051
Fecha de publicación:
13/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** csync2 uses insecure temporary directories when compiled with C99 or later, allowing for TOCTOU style attacks on the temporary directories.
Gravedad CVSS v4.0: MEDIA
Última modificación:
13/05/2026
Suscribirse a Vulnerabilidades