Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-121380

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Tournamatch WordPress plugin before 4.7.1 does not restrict access to its team invitation listing, allowing unauthenticated users to retrieve the email addresses of people invited to join teams.
Gravedad: Pendiente de análisis
Última modificación:
07/11/2026

CVE-2026-121491

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Fiber Admin WordPress plugin before 4.0.1 does not validate or escape a request header before writing it into a PHP file it regenerates on an unprotected admin hook, allowing unauthenticated attackers to execute arbitrary code when its custom database error page is enabled and they win a race against an administrator saving its settings.
Gravedad: Pendiente de análisis
Última modificación:
07/11/2026

CVE-2026-121492

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Fiber Admin WordPress plugin before 4.0.1 does not have authorisation checks in some of its AJAX actions, allowing unauthenticated users to change the order of arbitrary posts, including drafts, private posts and navigation menu items, as well as the order of taxonomy terms when term ordering is enabled.
Gravedad: Pendiente de análisis
Última modificación:
07/11/2026

CVE-2026-121796

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Add From Server Lite WordPress plugin before 6.0.0 does not restrict SVG uploads to users allowed to post unfiltered HTML, allowing users with the Author role and above to upload SVG files containing JavaScript and perform Stored XSS attacks.
Gravedad: Pendiente de análisis
Última modificación:
07/11/2026

CVE-2026-121848

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Magic Link WordPress plugin before 2.2.6 does not check that the user requesting a login link is authorised to generate one for the chosen account, allowing any authenticated user, such as a subscriber, to generate a working login link for an administrator and log in as them.
Gravedad: Pendiente de análisis
Última modificación:
07/11/2026

CVE-2026-121857

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Event Tickets with Ticket Scanner WordPress plugin before 3.1.14 does not check that a user may manage WooCommerce orders before returning or removing ticket data for any order, allowing any role an administrator has granted access to the Event Tickets with Ticket Scanner WordPress plugin before 3.1.14's admin area (down to Subscriber) to view other customers' ticket codes and names and to remove tickets from their orders.
Gravedad: Pendiente de análisis
Última modificación:
07/11/2026

CVE-2026-121858

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Event Tickets with Ticket Scanner WordPress plugin before 3.2.9 does not properly escape a search value before using it in SQL queries in several of its admin listings, allowing users with access to its admin area (administrators by default, or any role granted access in its settings) to perform SQL injection attacks.
Gravedad: Pendiente de análisis
Última modificación:
07/11/2026

CVE-2026-121866

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** The iLeads SMS Gateway by Exsile WordPress plugin before 2.0.0 does not check capabilities or nonces in several AJAX actions that update a site option chosen by the request, allowing any authenticated user, such as a subscriber, to change arbitrary WordPress options and escalate to administrator, for example by enabling registration with administrator as the default role.
Gravedad: Pendiente de análisis
Última modificación:
07/11/2026

CVE-2026-117588

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** The WP Google Review Slider WordPress plugin before 18.11 does not perform nonce validation when updating its active Google Places configuration, allowing attackers to alter or destroy that configuration via a forged request, provided they can trick a site administrator into following a crafted link.
Gravedad: Pendiente de análisis
Última modificación:
07/11/2026

CVE-2026-118528

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Directorist: AI-Powered Business Directory, Listings & Classified Ads WordPress plugin before 8.11 does not validate that the requesting user owns the referenced listing before returning its metadata via an AJAX action, allowing authenticated attackers with Subscriber-level access and above to disclose another user's private and unpublished draft listing details, including contact information.
Gravedad: Pendiente de análisis
Última modificación:
07/11/2026

CVE-2026-118529

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Directorist: AI-Powered Business Directory, Listings & Classified Ads WordPress plugin before 8.11 does not verify that a user owns a listing before processing a featured-listing checkout for it, allowing any authenticated user, such as a subscriber, to publish and feature another user's pending listing when the featured listing fee is set to zero.
Gravedad: Pendiente de análisis
Última modificación:
07/11/2026

CVE-2026-118530

Fecha de publicación:
07/11/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Directorist: AI-Powered Business Directory, Listings & Classified Ads WordPress plugin before 8.11 does not check that the acting user may edit each targeted user when handling an email-verification bulk action on multisite, allowing an Administrator of one site on the network to lock out users of other sites, including the network Super Administrator, until they re-verify their email.
Gravedad: Pendiente de análisis
Última modificación:
07/11/2026