Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en IFTOP de WellChoose (CVE-2026-3825)

Fecha de publicación:

11/03/2026

Idioma:

Español

IFTOP desarrollado por WellChoose tiene una vulnerabilidad de cross-site scripting reflejado, permitiendo a atacantes remotos autenticados ejecutar códigos JavaScript arbitrarios en el navegador del usuario a través de ataques de phishing.

Gravedad CVSS v4.0: MEDIA

Última modificación:

17/03/2026

Vulnerabilidad en Astra de brainstormforce (CVE-2026-3534)

Fecha de publicación:

11/03/2026

Idioma:

Español

El tema Astra para WordPress es vulnerable a Cross-Site Scripting Almacenado a través de los campos de metadatos de publicación &#39;ast-page-background-meta&#39; y &#39;ast-content-background-meta&#39; en todas las versiones hasta la 4.12.3, inclusive. Esto se debe a una sanitización de entrada insuficiente en el registro de metadatos y a una falta de escape de salida en la función &#39;astra_get_responsive_background_obj()&#39; para cuatro subpropiedades de contexto CSS (&#39;background-color&#39;, &#39;background-image&#39;, &#39;overlay-color&#39;, &#39;overlay-gradient&#39;). Esto hace posible que atacantes autenticados, con acceso de nivel Colaborador y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/03/2026

Vulnerabilidad en Koha de Koha Community (CVE-2026-31844)

Fecha de publicación:

11/03/2026

Idioma:

Español

Existe una vulnerabilidad de inyección SQL autenticada (CWE-89) en la interfaz de personal de Koha, en el endpoint /cgi-bin/koha/suggestion/suggestion.pl, debido a una validación incorrecta del parámetro displayby utilizado por la funcionalidad GetDistinctValues. Un usuario de personal con bajos privilegios puede inyectar consultas SQL arbitrarias a través de solicitudes manipuladas a este parámetro, permitiendo la ejecución de sentencias SQL no intencionadas y la exposición de información sensible de la base de datos. La explotación exitosa puede llevar a un compromiso total de la base de datos de backend, incluyendo la divulgación o modificación de los datos almacenados.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/03/2026

Vulnerabilidad en spin.js (CVE-2026-3884)

Fecha de publicación:

11/03/2026

Idioma:

Español

Las versiones del paquete spin.js anteriores a la 3.0.0 son vulnerables a Cross-site Scripting (XSS) a través de la función spin() que permite la creación de más de 1 alerta por cada elemento &#39;target&#39;. Un atacante necesitaría establecer un par clave-valor arbitrario en Object.prototype a través de una URL manipulada, logrando primero una contaminación de prototipos, antes de poder ejecutar JavaScript arbitrario en el contexto del navegador del usuario.

Gravedad CVSS v4.0: BAJA

Última modificación:

11/03/2026

Vulnerabilidad en Red Hat (CVE-2026-3911)

Fecha de publicación:

11/03/2026

Idioma:

Español

Se encontró una falla en Keycloak. Un usuario autenticado con el rol view-users podría explotar una vulnerabilidad en el componente UserResource. Al acceder a un endpoint administrativo específico, este usuario podría recuperar indebidamente atributos de usuario que estaban configurados para estar ocultos. Esta revelación de información no autorizada podría exponer datos de usuario sensibles.

Gravedad CVSS v3.1: BAJA

Última modificación:

11/03/2026

Vulnerabilidad en WP ULike – Like &amp; Dislike Buttons for Engagement and Feedback de alimir (CVE-2026-2358)

Fecha de publicación:

11/03/2026

Idioma:

Español

El plugin WP ULike para WordPress es vulnerable a cross-site scripting almacenado a través del atributo &#39;template&#39; del shortcode &#39;[wp_ulike_likers_box]&#39; en todas las versiones hasta la 5.0.1, inclusive. Esto se debe al uso de &#39;html_entity_decode()&#39; en los atributos del shortcode sin una posterior sanitización de la salida, lo que efectivamente omite el filtrado de contenido &#39;wp_kses_post()&#39; de WordPress. Esto hace posible que atacantes autenticados, con acceso de nivel Colaborador o superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. La publicación debe tener al menos un &#39;me gusta&#39; para que el XSS se renderice.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/03/2026

Vulnerabilidad en DukaPress (CVE-2026-2466)

Fecha de publicación:

11/03/2026

Idioma:

Español

El plugin de WordPress DukaPress hasta la versión 3.2.4 no sanea ni escapa un parámetro antes de devolverlo en la página, lo que lleva a un cross-site scripting reflejado que podría ser utilizado contra usuarios con altos privilegios como el administrador.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/03/2026

Vulnerabilidad en divi-booster (CVE-2026-2626)

Fecha de publicación:

11/03/2026

Idioma:

Español

El plugin de WordPress divi-booster anterior a 5.0.2 no tiene comprobaciones de autorización y CSRF en una de sus funciones de arreglo, lo que permite a usuarios no autenticados modificar opciones almacenadas del plugin de WordPress divi-booster anterior a 5.0.2. Además, debido al uso de unserialize() en los datos, esto podría ser explotado aún más cuando se combina con una cadena de gadgets de PHP para lograr la inyección de objetos PHP.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/03/2026

Vulnerabilidad en Datalogics Ecommerce Delivery (CVE-2026-2631)

Fecha de publicación:

11/03/2026

Idioma:

Español

El plugin de WordPress Datalogics Ecommerce Delivery anterior a 2.6.60 expone un endpoint REST no autenticado que permite a cualquier usuario remoto modificar la opción &#39;datalogics_token&#39; sin verificación. Este token se utiliza posteriormente para autenticación en un endpoint protegido que permite a los usuarios realizar operaciones arbitrarias de WordPress &#39;update_option()&#39;. Los atacantes pueden usar esto para habilitar el registro y establecer el rol predeterminado como Administrador.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/03/2026

Vulnerabilidad en boldgrid (CVE-2026-2707)

Fecha de publicación:

11/03/2026

Idioma:

Español

El plugin weForms para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del endpoint de envío de entradas de la API REST en todas las versiones hasta la 1.6.27, inclusive. Esto se debe a una sanitización de entrada inconsistente entre el gestor AJAX de frontend y el endpoint de la API REST. Cuando las entradas se envían a través de la API REST (`/wp-json/weforms/v1/forms/{id}/entries/`), el método `prepare_entry()` en `class-abstract-fields.php` recibe el objeto WP_REST_Request como `$args`, omitiendo el fallback `weforms_clean()` que sanitiza los datos de `$_POST` para envíos de frontend. El gestor de campo base solo aplica `trim()` al valor. Esto hace posible que atacantes autenticados, con acceso de nivel Suscriptor y superior, inyecten scripts web arbitrarios en los valores de campos ocultos de las entradas de formulario a través de la API REST que se ejecutan cuando un administrador ve la página de entradas del formulario, donde los datos se renderizan usando una directiva `v-html` de Vue.js sin escape.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/03/2026

Vulnerabilidad en flippercode (CVE-2026-3222)

Fecha de publicación:

11/03/2026

Idioma:

Español

El plugin WP Maps para WordPress es vulnerable a inyección SQL ciega basada en tiempo a través del parámetro &#39;location_id&#39; en todas las versiones hasta, e incluyendo, la 4.9.1. Esto se debe a que la capa de abstracción de base de datos del plugin (`FlipperCode_Model_Base::is_column()`) trata la entrada del usuario envuelta en comillas invertidas como nombres de columna, omitiendo la función de escape `esc_sql()`. Además, el gestor AJAX `wpgmp_ajax_call` (registrado para usuarios no autenticados a través de `wp_ajax_nopriv`) permite llamar a métodos de clase arbitrarios, incluyendo `wpgmp_return_final_capability`, que pasa el parámetro GET `location_id` sin sanitizar directamente a una consulta de base de datos. Esto hace posible que atacantes no autenticados añadan consultas SQL adicionales a consultas ya existentes que pueden ser usadas para extraer información sensible de la base de datos.

Gravedad CVSS v3.1: ALTA

Última modificación:

11/03/2026