Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-19073

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Order Sync with Zendesk for WooCommerce WordPress plugin before 2.2.3 does not perform any capability check on one of its REST API endpoints, and does not verify that the requester owns the account being queried, allowing unauthenticated attackers to retrieve the order history and purchase totals of any customer whose email address they know or can enumerate.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/08/2026

CVE-2026-19052

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The ProSolution WP Client WordPress plugin before 2.0.9 does not perform capability checks on two administrative AJAX actions, and the nonce they rely on is published on its public frontend, allowing any authenticated user, such as a subscriber, to trigger an administrative data synchronisation and to clear the ProSolution WP Client WordPress plugin before 2.0.9's activity records.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/08/2026

CVE-2026-18962

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The WP Photo Album Plus WordPress plugin before 9.2.09.002 does not check that the current user is allowed to upload into the album they target when it processes a front-end upload, allowing any authenticated user, such as a Subscriber, to upload files into albums owned by other users or by the administrator. Exploitation requires the WP Photo Album Plus WordPress plugin before 9.2.09.002's front-end user upload feature to be enabled, which is not the default.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/08/2026

CVE-2026-19050

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The ProSolution WP Client WordPress plugin before 2.0.9 does not validate a user-supplied URL, and does not check the capability or nonce of the requester, before performing a server-side HTTP request with it, allowing any authenticated user, such as a subscriber, to make the site issue arbitrary requests to internal hosts and services, including requests with an attacker-chosen method, headers and body.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/08/2026

CVE-2026-18943

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The WPC Admin Columns WordPress plugin before 2.3.4 does not have authorisation checks in one of its AJAX actions, allowing users with a role as low as subscriber to read arbitrary user, post and term metadata, including data belonging to administrators.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/08/2026

CVE-2026-18789

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Ezoic WordPress plugin before 2.23.1 does not properly restrict access to some of its content export functionality, allowing unauthenticated attackers to trigger a server-side export of the site's database, including user password hashes and password reset tokens, as well as to persistently change some of its settings.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/08/2026

CVE-2026-18391

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The WooCommerce Subscriptions WordPress plugin before 9.1.0 does not validate user input before unserializing it on stores with High-Performance Order Storage enabled, leading to a PHP Object Injection issue which unauthenticated users can escalate to Remote Code Execution via a gadget chain present in the bundled dependencies.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/08/2026

CVE-2026-18474

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The WP Directory Kit WordPress plugin before 1.5.6 does not sanitise and escape a parameter before using it in a SQL statement, leading to a SQL injection exploitable by unauthenticated users when a non-default search field type is configured.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/08/2026

CVE-2026-18230

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The WP Directory Kit WordPress plugin before 1.5.6 does not sanitise and escape a parameter before using it in a SQL statement through one of its authenticated AJAX actions, which lacks an authorization check, allowing any authenticated user such as a Subscriber to perform SQL injection attacks.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/08/2026

CVE-2026-18366

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Events Manager WordPress plugin before 7.4.1 does not properly scope its capability mapping, discarding the access control decisions WordPress already made for unrelated privileged actions, which allows unauthenticated users to change the password of, escalate to Administrator, or delete any account whose user ID happens to match the ID of one of the Events Manager WordPress plugin before 7.4.1's own posts.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/08/2026

CVE-2026-18049

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The WP Photo Album Plus WordPress plugin before 9.2.07.002 does not perform any capability or nonce check on one of its public endpoint actions and builds an option name from a client-supplied value without restricting it to its own options, allowing unauthenticated users to read the value of other autoloaded options whose names end in a matching suffix.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/08/2026

CVE-2026-18057

Fecha de publicación:
12/08/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Events Manager WordPress plugin before 7.4.1 does not sanitise and escape a user-controlled value before using it in a SQL statement, allowing users with a subscriber account and above to perform SQL injection attacks and tamper with booking consent records belonging to other people.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/08/2026