Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2018-25337
Fecha de publicación:
17/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Joomla JoomOCShop 1.0 contains a cross-site request forgery vulnerability that allows attackers to perform unauthorized actions on behalf of authenticated users. Attackers can craft malicious HTML forms targeting account endpoints like /joomoc2/?route=account/edit and to modify user information or reset passwords without user consent.
Gravedad CVSS v4.0: MEDIA
Última modificación:
17/05/2026

CVE-2018-25338
Fecha de publicación:
17/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Zechat 1.5 contains a SQL injection vulnerability in the hashtag parameter that allows unauthenticated attackers to extract database information using union-based techniques. Attackers can exploit the hashtag parameter with union-based payloads to retrieve table and column names.
Gravedad CVSS v4.0: ALTA
Última modificación:
17/05/2026

CVE-2018-25339
Fecha de publicación:
17/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Zechat 1.5 contains a SQL injection vulnerability in the v parameter that allows unauthenticated attackers to extract database information using time-based blind techniques. Attackers can exploit the v parameter with sleep-based blind injection to confirm vulnerability and extract data.
Gravedad CVSS v4.0: ALTA
Última modificación:
17/05/2026

CVE-2026-8753
Fecha de publicación:
17/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** A security vulnerability has been detected in kalcaddle Kodbox up to 1.64. This issue affects the function parseVideoInfo of the file /workspace/source-code/plugins/fileThumb/lib/VideoResize.class.php of the component fileThumb Plugin. The manipulation of the argument ffmpegBin leads to command injection. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Gravedad CVSS v4.0: BAJA
Última modificación:
17/05/2026

CVE-2018-25326
Fecha de publicación:
17/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Google Drive for WordPress 2.2 contains a path traversal vulnerability that allows unauthenticated attackers to read arbitrary files by injecting directory traversal sequences in the file_name parameter. Attackers can send POST requests to gdrive-ajaxs.php with the ajaxstype parameter set to del_fl_bkp and file_name containing traversal sequences ../../wp-config.php to access sensitive configuration files.
Gravedad CVSS v4.0: ALTA
Última modificación:
17/05/2026

CVE-2018-25327
Fecha de publicación:
17/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Joomla! Component Js Jobs 1.2.0 contains a cross-site request forgery vulnerability that allows attackers to perform state-changing actions without token validation. Attackers can craft malicious HTML forms targeting administrative endpoints like job.jobenforcedelete to delete job entries or modify component settings when administrators visit attacker-controlled pages.
Gravedad CVSS v4.0: MEDIA
Última modificación:
17/05/2026

CVE-2018-25328
Fecha de publicación:
17/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** VX Search 10.6.18 contains a local buffer overflow vulnerability that allows attackers to overwrite the instruction pointer by supplying an oversized string in the directory field. Attackers can craft a malicious input file containing 271 bytes of junk data followed by a return address to execute arbitrary code with application privileges.
Gravedad CVSS v4.0: ALTA
Última modificación:
17/05/2026

CVE-2018-25329
Fecha de publicación:
17/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** WordPress Plugin WP with Spritz 1.0 contains a remote file inclusion vulnerability that allows unauthenticated attackers to read arbitrary files by injecting file paths into the url parameter. Attackers can send GET requests to wp.spritz.content.filter.php with malicious url values to access sensitive files like system configuration and credentials.
Gravedad CVSS v4.0: ALTA
Última modificación:
17/05/2026

CVE-2018-25330
Fecha de publicación:
17/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Joomla! extension EkRishta 2.10 contains persistent cross-site scripting and SQL injection vulnerabilities that allow attackers to inject malicious code through profile fields and POST parameters. Attackers can inject script payloads in profile information fields like Address that execute when users visit the profile, or submit SQL injection payloads via the phone_no parameter to the user_setting endpoint to manipulate database queries.
Gravedad CVSS v4.0: ALTA
Última modificación:
17/05/2026

CVE-2018-25331
Fecha de publicación:
17/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Zenar Content Management System contains a cross-site scripting vulnerability that allows unauthenticated attackers to inject malicious scripts by manipulating form parameters in POST requests. Attackers can inject script tags through the current_page parameter sent to the ajax.php endpoint, which reflects unsanitized user input in the response HTML to execute arbitrary JavaScript in victim browsers.
Gravedad CVSS v4.0: MEDIA
Última modificación:
17/05/2026

CVE-2018-25332
Fecha de publicación:
17/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** GitBucket 4.23.1 contains an unauthenticated remote code execution vulnerability that allows attackers to execute arbitrary commands by exploiting weak secret token generation and insecure file upload functionality. Attackers can brute-force the Blowfish encryption key, upload a malicious JAR plugin via the git-lfs endpoint, and execute system commands through an exposed exploit endpoint.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
17/05/2026

CVE-2018-25333
Fecha de publicación:
17/05/2026
Idioma:
Inglés
*** Pendiente de traducción *** Nordex N149/4.0-4.5 Wind Turbine Web Server 4.0 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the login parameter in login.php. Attackers can submit crafted POST requests with SQL injection payloads in the login field to extract sensitive database information and bypass authentication mechanisms.
Gravedad CVSS v4.0: ALTA
Última modificación:
17/05/2026
Suscribirse a Vulnerabilidades