Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-37340
Fecha de publicación:
16/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** SourceCodester Simple Music Cloud Community System v1.0 is vulnerable to SQL Injection in the file /music/edit_music.php.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
18/04/2026

CVE-2026-33804
Fecha de publicación:
16/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** @fastify/middie versions 9.3.1 and earlier are vulnerable to middleware bypass when the deprecated Fastify ignoreDuplicateSlashes option is enabled. The middleware path matching logic does not account for duplicate slash normalization performed by Fastify's router, allowing requests with duplicate slashes to bypass middleware authentication and authorization checks. This only affects applications using the deprecated ignoreDuplicateSlashes option. Upgrade to @fastify/middie 9.3.2 to fix this issue. There are no workarounds other than disabling the ignoreDuplicateSlashes option.
Gravedad CVSS v3.1: ALTA
Última modificación:
14/05/2026

CVE-2026-30656
Fecha de publicación:
16/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A NULL pointer dereference vulnerability exists in fio (Flexible I/O Tester) v3.41 when parsing job files containing the fdp_pli option. The callback function str_fdp_pli_cb() does not validate the input pointer and calls strdup() on a NULL value when the option is specified without an argument. This results in a segmentation fault and process crash.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/04/2026

CVE-2026-2840
Fecha de publicación:
16/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Email Encoder – Protect Email Addresses and Phone Numbers plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'eeb_mailto' shortcode in all versions up to, and including, 2.4.4 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/04/2026

CVE-2026-30459
Fecha de publicación:
16/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** An issue in the Forgot Password feature of Daylight Studio FuelCMS v1.5.2 allows unauthenticated attackers to obtain the password reset token of a victim user via a crafted link placed in a valid e-mail message.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2026

CVE-2026-6410
Fecha de publicación:
16/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** @fastify/static versions 8.0.0 through 9.1.0 allow path traversal when directory listing is enabled via the list option. The dirList.path() function resolves directories outside the configured static root using path.join() without a containment check. A remote unauthenticated attacker can obtain directory listings for arbitrary directories accessible to the Node.js process, disclosing directory and file names. File contents are not disclosed. Upgrade to @fastify/static 9.1.1 to fix this issue. As a workaround, disable directory listing by removing the list option from the plugin configuration.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/04/2026

CVE-2026-6270
Fecha de publicación:
16/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** @fastify/middie versions 9.3.1 and earlier do not register inherited middleware directly on child plugin engine instances. When a Fastify application registers authentication middleware in a parent scope and then registers child plugins with @fastify/middie, the child scope does not inherit the parent middleware. This allows unauthenticated requests to reach routes defined in child plugin scopes, bypassing authentication and authorization checks. Upgrade to @fastify/middie 9.3.2 to fix this issue. There are no workarounds.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
14/05/2026

CVE-2026-5785
Fecha de publicación:
16/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Zohocorp ManageEngine PAM360 versions before 8531 and ManageEngine Password Manager Pro versions from 8600 to 13230 are vulnerable to Authenticated SQL injection in the query report module.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/04/2026

CVE-2026-4160
Fecha de publicación:
16/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder plugin for WordPress is vulnerable to Insecure Direct Object Reference via the 'submission_id' parameter in versions up to, and including, 6.1.21. This is due to missing authorization and ownership validation on a user controlled key in the Stripe SCA confirmation AJAX endpoint. This makes it possible for unauthenticated attackers to modify payment status of targeted pending submissions (for example, setting the status to "failed").
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/04/2026

CVE-2026-31987
Fecha de publicación:
16/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** JWT Tokens used by tasks were exposed in logs. This could allow UI users to act as Dag Authors. <br /> Users are advised to upgrade to Airflow version that contains fix.<br /> <br /> Users are recommended to upgrade to version 3.2.0, which fixes this issue.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/04/2026

CVE-2026-6414
Fecha de publicación:
16/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** @fastify/static versions 8.0.0 through 9.1.0 decode percent-encoded path separators (%2F) before filesystem resolution, while Fastify&amp;#39;s router treats them as literal characters. This mismatch allows attackers to bypass route-based middleware or guards that protect files served by @fastify/static. For example, a route guard on a protected path can be circumvented by encoding the path separator in the URL. Upgrade to @fastify/static 9.1.1 to fix this issue. There are no workarounds.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/04/2026

CVE-2026-5968
Fecha de publicación:
16/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: ** REJECT ** DO NOT USE THIS CANDIDATE NUMBER. Reason: This candidate was issued in error. Notes: All references and descriptions in this candidate have been removed to prevent accidental usage.
Gravedad: Pendiente de análisis
Última modificación:
16/04/2026
Suscribirse a Vulnerabilidades