Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-63232

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A SQL injection and unsafe deserialisation vulnerability in Koollab LMS allowed an authenticated attacker to inject through the assessment reinforcement endpoint, control data passed to unserialize(), write a webshell to a publicly accessible location, and execute arbitrary code on the server.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

30/07/2026

CVE-2026-63233

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A SQL injection and unsafe deserialisation vulnerability in Koollab LMS allowed an authenticated attacker to inject through the assessment overall answer endpoint, control data passed to unserialize(), write a webshell to a publicly accessible location, and execute arbitrary code on the server.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

30/07/2026

CVE-2026-63234

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A SQL injection and unsafe deserialisation vulnerability in Koollab LMS allowed an authenticated attacker to inject through the manual mark assessment endpoint, control data passed to unserialize(), write a webshell to a publicly accessible location, and execute arbitrary code on the server.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

30/07/2026

CVE-2026-63235

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** An improper access control vulnerability in Koollab LMS allowed an unauthenticated attacker to forcibly terminate the session of any user given their email address via the login kickout endpoint, resulting in a denial of service.

Gravedad CVSS v3.1: BAJA

Última modificación:

30/07/2026

CVE-2026-11974

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The wp-media-folder-addon WordPress plugin through 4.1.6 does not validate a user-supplied parameter before using it in a file read operation in two AJAX actions available to unauthenticated users, leading to Arbitrary File Disclosure and Server-Side Request Forgery on sites where a cloud storage connection has been configured. This is an incomplete fix of CVE-2026-9690, whose patch hardened only one of the affected cloud-storage handlers and left the others unpatched.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/07/2026

CVE-2026-13423

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Streamit WordPress theme through 4.5.0 does not perform any authorization or nonce verification on one of its unauthenticated AJAX routes, which invokes an attacker-supplied PHP function with an attacker-supplied argument array, allowing unauthenticated attackers to call arbitrary functions (for example to create an administrator account), leading to privilege escalation and remote code execution.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

30/07/2026

CVE-2026-13605

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The PhotoSwipe WordPress plugin through 4.1.1.1 uses the title attribute of author-supplied link markup as a lightbox caption that is written into the page DOM without escaping. Because the title attribute survives the post-content sanitization applied to users who lack the unfiltered_html capability, an authenticated user with Author-level access can store a JavaScript payload that executes in the browser of any visitor, including an administrator, who clicks the link.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/07/2026

CVE-2026-13690

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The UsersWP WordPress plugin before 1.2.67 does not validate the selected authentication provider in its two-factor login handler, allowing an attacker who already knows a user&#39;s credentials to bypass the second authentication factor and log in as that user.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/07/2026

CVE-2026-13692

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The PayU CommercePro Plugin WordPress plugin through 3.8.9 does not verify the payment-gateway signature before applying order modifications, allowing unauthenticated attackers to tamper with the totals, shipping and metadata of arbitrary WooCommerce orders.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/07/2026

CVE-2026-14224

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Easy Appointments WordPress plugin through 3.12.26 does not verify that the appointment targeted by its customer-data update action belongs to the current user; the action only checks a shared nonce that any authenticated user can obtain from their own appointment&#39;s edit form. A subscriber-level user with an appointment of their own can therefore reuse that nonce to overwrite the customer metadata (email, name, phone, description) of another user&#39;s appointment. Because the Easy Appointments WordPress plugin through 3.12.26 then treats that metadata as the appointment&#39;s contact data, a subsequent administrator status change with customer notifications enabled delivers the victim&#39;s appointment notification to the attacker-controlled email address.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/07/2026

CVE-2026-14234

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The WOLF WordPress plugin before 1.1.0 does not perform a nonce or capability check on one of its AJAX actions, allowing an unauthenticated attacker to trick a logged-in administrator into writing arbitrary content, including a malicious script, into a post via a cross-site request, resulting in stored Cross-Site Scripting.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/07/2026

CVE-2026-14300

Fecha de publicación:

29/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The miniOrange Social Login and Register (Discord, Google, Twitter, LinkedIn) WordPress plugin before 7.8.0 does not bind the one-time code used by its optional email-verification (Profile Completion) feature to the account it was issued for, allowing unauthenticated attackers to obtain a valid session for any account, including administrators, by requesting a code for an email address they control and replaying it against the victim&#39;s email address. Exploitation requires the Profile Completion feature to be enabled and social login to be configured.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/07/2026

Suscribirse a Vulnerabilidades