Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en plugin Jeg Elementor Kit para WordPress (CVE-2025-14275)
Fecha de publicación:
08/01/2026
Idioma:
Español
El plugin Jeg Elementor Kit para WordPress es vulnerable a cross-site scripting almacenado en todas las versiones hasta la 3.0.1, inclusive, debido a una sanitización de entrada insuficiente en la funcionalidad de redirección del widget de cuenta regresiva. Esto permite a atacantes autenticados, con acceso de nivel Colaborador o superior, inyectar JavaScript arbitrario que se ejecutará cuando un administrador u otro usuario vea la página que contiene el elemento de cuenta regresiva malicioso.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/01/2026

Vulnerabilidad en Folders (CVE-2025-12640)
Fecha de publicación:
08/01/2026
Idioma:
Español
El plugin Folders – Unlimited Folders to Organize Media Library Folder, Pages, Posts, File Manager para WordPress es vulnerable a Reemplazo Arbitrario de Medios No Autorizado en todas las versiones hasta la 3.1.5, inclusive. Esto se debe a la falta de comprobaciones de autorización a nivel de objeto en la función handle_folders_file_upload(). Esto hace posible que atacantes autenticados, con acceso de nivel Autor y superior, reemplacen archivos multimedia arbitrarios de la biblioteca de medios de WordPress.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/01/2026

Vulnerabilidad en WP Cost Estimation & Payment Forms Builder de loopus (CVE-2019-25296)
Fecha de publicación:
08/01/2026
Idioma:
Español
El plugin WP Cost Estimation para WordPress es vulnerable a la carga y eliminación arbitraria de archivos debido a la falta de validación del tipo de archivo en las acciones AJAX lfb_upload_form y lfb_removeFile en versiones hasta la 9.642, inclusive. Esto hace posible que atacantes no autenticados carguen archivos arbitrarios en el servidor de los sitios afectados, lo que puede hacer posible la ejecución remota de código. Además, el atacante también puede eliminar archivos en el servidor, como archivos de configuración de la base de datos, cargando posteriormente sus propios archivos de base de datos.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/01/2026

Vulnerabilidad en kanboard (CVE-2026-21879)
Fecha de publicación:
08/01/2026
Idioma:
Español
Kanboard es un software de gestión de proyectos centrado en la metodología Kanban. Las versiones 1.2.48 e inferiores son vulnerables a un ataque de redirección abierta que permite a actores maliciosos redirigir a usuarios autenticados a sitios web controlados por el atacante. Al elaborar URLs como //evil.com, los atacantes pueden eludir la comprobación de validación filter_var($url, FILTER_VALIDATE_URL). Esta vulnerabilidad podría ser explotada para llevar a cabo ataques de phishing, robar credenciales de usuario o distribuir malware. El problema está solucionado en la versión 1.2.49.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/01/2026

Vulnerabilidad en kanboard (CVE-2026-21880)
Fecha de publicación:
08/01/2026
Idioma:
Español
Kanboard es un software de gestión de proyectos enfocado en la metodología Kanban. Las versiones 1.2.48 e inferiores tienen una vulnerabilidad de inyección LDAP en el mecanismo de autenticación LDAP. La entrada proporcionada por el usuario se sustituye directamente en los filtros de búsqueda LDAP sin una sanitización adecuada, permitiendo a los atacantes enumerar todos los usuarios LDAP, descubrir atributos de usuario sensibles y realizar ataques dirigidos contra cuentas específicas. Este problema se corrige en la versión 1.2.49.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/01/2026

Vulnerabilidad en kanboard (CVE-2026-21881)
Fecha de publicación:
08/01/2026
Idioma:
Español
Kanboard es un software de gestión de proyectos centrado en la metodología Kanban. Las versiones 1.2.48 e inferiores son vulnerables a una omisión de autenticación crítica cuando REVERSE_PROXY_AUTH está habilitado. La aplicación confía ciegamente en los encabezados HTTP para la autenticación de usuarios sin verificar que la solicitud se originó desde un proxy inverso de confianza. Un atacante puede suplantar a cualquier usuario, incluidos los administradores, simplemente enviando un encabezado HTTP falsificado. Este problema se solucionó en la versión 1.2.49.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
20/01/2026

Vulnerabilidad en bokeh (CVE-2026-21883)
Fecha de publicación:
08/01/2026
Idioma:
Español
Bokeh es una biblioteca de visualización interactiva escrita en Python. En las versiones 3.8.1 e inferiores, si un servidor está configurado con una lista de permitidos (por ejemplo, dashboard.corp), un atacante puede registrar un dominio como dashboard.corp.attacker.com (o usar un subdominio si corresponde) y atraer a una víctima para que lo visite. El sitio malicioso puede entonces iniciar una conexión WebSocket al servidor Bokeh vulnerable. Dado que el encabezado Origin (por ejemplo, HTTP://dashboard.corp.attacker.com/) coincide con la lista de permitidos según la lógica defectuosa, la conexión es aceptada. Una vez conectado, el atacante puede interactuar con el servidor Bokeh en nombre de la víctima, potencialmente accediendo a datos sensibles o modificando visualizaciones. Este problema está solucionado en la versión 3.8.2.
Gravedad CVSS v4.0: MEDIA
Última modificación:
09/03/2026

Vulnerabilidad en WP Cost Estimation & Payment Forms Builder de loopus (CVE-2019-25295)
Fecha de publicación:
08/01/2026
Idioma:
Español
El plugin WP Cost Estimation para WordPress es vulnerable a salto de directorio de carga en versiones anteriores a la 9.660 a través de la función uploadFormFiles. Esto permite a los atacantes sobrescribir cualquier archivo con un tipo en la lista blanca en un sitio afectado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
08/01/2026

Vulnerabilidad en Greenshot Vulnerable to OS Command Injection via ExternalCommand Plugin (CVE-2026-22035)
Fecha de publicación:
08/01/2026
Idioma:
Español
Greenshot es una utilidad de captura de pantalla de código abierto para Windows. Las versiones 1.3.310 e inferiores son vulnerables a la inyección de comandos del sistema operativo a través del procesamiento de nombres de archivo no saneados. El método FormatArguments en ExternalCommandDestination.cs:269 utiliza string.Format() para insertar nombres de archivo controlados por el usuario directamente en comandos de shell sin saneamiento, lo que permite a los atacantes ejecutar comandos arbitrarios al crear nombres de archivo maliciosos que contienen metacaracteres de shell. Este problema está corregido en la versión 1.3.311.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/01/2026

Vulnerabilidad en flagForge de FlagForgeCTF (CVE-2026-21868)
Fecha de publicación:
08/01/2026
Idioma:
Español
Flag Forge es una plataforma de Capture The Flag (CTF). Las versiones 2.3.2 e inferiores tienen una vulnerabilidad de denegación de servicio por expresión regular (ReDoS) en el endpoint de la API de perfil de usuario (/api/user/[username]). La aplicación construye una expresión regular dinámicamente utilizando entrada de usuario sin escapar (el parámetro username). Un atacante puede explotar esto enviando un nombre de usuario especialmente diseñado que contenga metacaracteres de regex (p. ej., grupos anidados profundamente o cuantificadores), lo que provoca que el motor de regex de MongoDB consuma recursos excesivos de CPU. Esto puede llevar a la denegación de servicio para otros usuarios. El problema está solucionado en la versión 2.3.3. Como solución alternativa a este problema, implemente una regla de cortafuegos de aplicaciones web (WAF) para bloquear las solicitudes que contengan metacaracteres de regex en la ruta URL.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/01/2026

Vulnerabilidad en n8n de n8n-io (CVE-2026-21877)
Fecha de publicación:
08/01/2026
Idioma:
Español
n8n es una plataforma de automatización de flujos de trabajo de código abierto. En las versiones 0.121.2 e inferiores, un atacante autenticado podría ejecutar código malicioso utilizando el servicio n8n. Esto podría resultar en un compromiso total y puede impactar tanto las instancias autoalojadas como las de n8n Cloud. Este problema está solucionado en la versión 1.121.3. Los administradores pueden reducir la exposición deshabilitando el nodo Git y limitando el acceso a usuarios no confiables, pero se recomienda actualizar a la última versión.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
20/01/2026

Vulnerabilidad en mailpit de axllent (CVE-2026-21859)
Fecha de publicación:
08/01/2026
Idioma:
Español
Mailpit es una herramienta de prueba de correo electrónico y una API para desarrolladores. Las versiones 1.28.0 e inferiores tienen una vulnerabilidad de falsificación de petición del lado del servidor (SSRF) en el endpoint /proxy, permitiendo a los atacantes realizar peticiones a recursos de la red interna. El endpoint /proxy valida los esquemas http:// y https://, pero no bloquea las direcciones IP internas, lo que permite a los atacantes acceder a servicios y API internas. Esta vulnerabilidad está limitada a peticiones HTTP GET con encabezados mínimos. El problema está solucionado en la versión 1.28.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/02/2026
Suscribirse a Vulnerabilidades