Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-63229
Fecha de publicación:
29/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A pre-authentication blind SQL injection<br /> vulnerability in Koollab LMS allowed an unauthenticated attacker to use a time-based SQL oracle via<br /> the SSO OAuth endpoint to read sensitive database contents, including<br /> personally identifiable information, credentials, and valid JWT tokens that may<br /> enable account takeover.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/07/2026

CVE-2026-63230
Fecha de publicación:
29/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A pre-authentication error-based SQL injection<br /> vulnerability in Koollab LMS allowed an unauthenticated attacker to read sensitive database<br /> contents, including personally identifiable information, credentials, and valid<br /> JWT tokens that may enable account takeover, via the SCORM report endpoint.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/07/2026

CVE-2026-63231
Fecha de publicación:
29/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A post-authentication SQL injection<br /> vulnerability in Koollab LMS allowed an authenticated attacker to use an error-based SQL oracle via<br /> the face-to-face runs update endpoint to read the entire application database<br /> and obtain valid JWT tokens for account takeover.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/07/2026

CVE-2026-63232
Fecha de publicación:
29/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A SQL injection and unsafe deserialisation<br /> vulnerability in Koollab LMS allowed an authenticated attacker to inject through the assessment<br /> reinforcement endpoint, control data passed to unserialize(), write a webshell<br /> to a publicly accessible location, and execute arbitrary code on the server.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/07/2026

CVE-2026-63233
Fecha de publicación:
29/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A SQL injection and unsafe deserialisation<br /> vulnerability in Koollab LMS allowed an authenticated attacker to inject through the assessment<br /> overall answer endpoint, control data passed to unserialize(), write a webshell<br /> to a publicly accessible location, and execute arbitrary code on the server.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/07/2026

CVE-2026-63234
Fecha de publicación:
29/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** A SQL injection and unsafe deserialisation<br /> vulnerability in Koollab LMS allowed an authenticated attacker to inject through the manual mark<br /> assessment endpoint, control data passed to unserialize(), write a webshell to<br /> a publicly accessible location, and execute arbitrary code on the server.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/07/2026

CVE-2026-63235
Fecha de publicación:
29/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** An improper access control vulnerability in Koollab LMS<br /> allowed an<br /> unauthenticated attacker to forcibly terminate the session of any user given<br /> their email address via the login kickout endpoint, resulting in a denial of<br /> service.
Gravedad CVSS v3.1: BAJA
Última modificación:
30/07/2026

CVE-2026-11974
Fecha de publicación:
29/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The wp-media-folder-addon WordPress plugin through 4.1.6 does not validate a user-supplied parameter before using it in a file read operation in two AJAX actions available to unauthenticated users, leading to Arbitrary File Disclosure and Server-Side Request Forgery on sites where a cloud storage connection has been configured. This is an incomplete fix of CVE-2026-9690, whose patch hardened only one of the affected cloud-storage handlers and left the others unpatched.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/07/2026

CVE-2026-13423
Fecha de publicación:
29/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Streamit WordPress theme through 4.5.0 does not perform any authorization or nonce verification on one of its unauthenticated AJAX routes, which invokes an attacker-supplied PHP function with an attacker-supplied argument array, allowing unauthenticated attackers to call arbitrary functions (for example to create an administrator account), leading to privilege escalation and remote code execution.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/07/2026

CVE-2026-13605
Fecha de publicación:
29/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The PhotoSwipe WordPress plugin through 4.1.1.1 uses the title attribute of author-supplied link markup as a lightbox caption that is written into the page DOM without escaping. Because the title attribute survives the post-content sanitization applied to users who lack the unfiltered_html capability, an authenticated user with Author-level access can store a JavaScript payload that executes in the browser of any visitor, including an administrator, who clicks the link.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/07/2026

CVE-2026-13690
Fecha de publicación:
29/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The UsersWP WordPress plugin before 1.2.67 does not validate the selected authentication provider in its two-factor login handler, allowing an attacker who already knows a user&amp;#39;s credentials to bypass the second authentication factor and log in as that user.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/07/2026

CVE-2026-13692
Fecha de publicación:
29/07/2026
Idioma:
Inglés
*** Pendiente de traducción *** The PayU CommercePro Plugin WordPress plugin through 3.8.9 does not verify the payment-gateway signature before applying order modifications, allowing unauthenticated attackers to tamper with the totals, shipping and metadata of arbitrary WooCommerce orders.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/07/2026
Suscribirse a Vulnerabilidades