Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2020-37229
Fecha de publicación:
16/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** OKI sPSV Port Manager 1.0.41 contains an unquoted service path vulnerability in the sPSVOpLclSrv service that allows local attackers to escalate privileges by inserting executable files into the unquoted path. Attackers can place a malicious executable in a directory within the service path that will execute with LocalSystem privileges when the service restarts or the system reboots.
Gravedad CVSS v4.0: ALTA
Última modificación:
16/05/2026

CVE-2020-37230
Fecha de publicación:
16/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Syncplify.me Server! 5.0.37 contains an unquoted service path vulnerability in the SMWebRestServicev5 service that allows local attackers to escalate privileges by exploiting the unquoted binary path. Attackers can insert a malicious executable into the service path and execute it with LocalSystem privileges when the service restarts or the system reboots.
Gravedad CVSS v4.0: ALTA
Última modificación:
16/05/2026

CVE-2020-37227
Fecha de publicación:
16/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** HS Brand Logo Slider 2.1 contains an unrestricted file upload vulnerability that allows authenticated users to bypass client-side file extension validation by uploading arbitrary files. Attackers can intercept upload requests to the logoupload parameter in the admin interface and rename files to executable extensions .php to achieve remote code execution.
Gravedad CVSS v4.0: ALTA
Última modificación:
16/05/2026

CVE-2026-46719
Fecha de publicación:
16/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Net::Statsd::Lite versions before 0.9.0 for Perl allowed metric injections.<br /> <br /> The metric names were not checked for newlines, colons or pipes. Metrics generated from untrusted sources could inject additional statsd metrics.
Gravedad: Pendiente de análisis
Última modificación:
16/05/2026

CVE-2025-4202
Fecha de publicación:
16/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Multicollab: Content Team Collaboration and Editorial Workflow plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the &amp;#39;cf_add_comment&amp;#39; function in all versions up to, and including, 5.2. This makes it possible for authenticated attackers, with Subscriber-level access and above, to add comments to arbitrary collaborations.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/05/2026

CVE-2026-8656
Fecha de publicación:
16/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Versions of the package jsondiffpatch before 0.7.6 are vulnerable to Cross-site Scripting (XSS) via the annotated formatter due to improper sanitization of JSON values and property names. If an application compares untrusted JSON/object data and renders annotated formatter output in the DOM, attacker-controlled HTML can be interpreted by the browser, resulting in XSS.
Gravedad CVSS v4.0: BAJA
Última modificación:
16/05/2026

CVE-2026-8657
Fecha de publicación:
16/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Versions of the package jsondiffpatch before 0.7.6 are vulnerable to Prototype Pollution via the jsondiffpatch.patch() and jsondiffpatch/formatters/jsonpatch.patch() APIs. An attacker can perform prototype pollution by supplying crafted delta or JSON Patch documents, as attacker-controlled property names and path segments are used to traverse and modify objects without restricting access to special properties like __proto__ or constructor.prototype, allowing modification of Object.prototype.
Gravedad CVSS v4.0: ALTA
Última modificación:
16/05/2026

CVE-2026-8681
Fecha de publicación:
16/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Essential Chat Support plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 1.0.1. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to reset all plugin configuration settings — including general settings, display rules, custom CSS, and WooCommerce tab settings — to their defaults by sending a POST request with ecs_reset_settings=1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/05/2026

CVE-2026-8704
Fecha de publicación:
15/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Crypt::DSA versions through 1.19 for Perl use 2-args open, allowing existing files to be modified.
Gravedad: Pendiente de análisis
Última modificación:
16/05/2026

CVE-2026-8700
Fecha de publicación:
15/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Crypt::DSA versions before 1.20 for Perl generate seeds using rand.<br /> <br /> Seeds were generated using Perl&amp;#39;s built-in rand function, which is predictable and unsuitable for security usage.
Gravedad: Pendiente de análisis
Última modificación:
16/05/2026

CVE-2026-45666
Fecha de publicación:
15/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.8.11, the API /api/v1/notes/{note_id} endpoint lacks proper authorization checks, allowing authenticated users to retrieve notes belonging to other users by guessing or enumerating UUIDs. This results in unauthorized disclosure of potentially sensitive or private user data. This vulnerability is fixed in 0.8.11.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/05/2026

CVE-2026-45667
Fecha de publicación:
15/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Open WebUI is a self-hosted artificial intelligence platform designed to operate entirely offline. Prior to 0.8.0, GET /api/v1/memories/ef is accessible without authentication and executes request.app.state.EMBEDDING_FUNCTION(...). This allows any unauthenticated caller to trigger embedding generation which can lead to direct cost exposure if a paid provider is used. This vulnerability is fixed in 0.8.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/05/2026
Suscribirse a Vulnerabilidades