Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en WP Lightbox 2 (CVE-2026-1430)

Fecha de publicación:

26/03/2026

Idioma:

Español

El plugin de WordPress WP Lightbox 2 anterior a 3.0.7 no sanitiza ni escapa algunas de sus configuraciones, lo que podría permitir a usuarios con altos privilegios, como el administrador, realizar ataques de cross-site scripting almacenado incluso cuando la capacidad unfiltered_html está deshabilitada (por ejemplo, en una configuración multisitio).

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en LeadConnector (CVE-2026-1890)

Fecha de publicación:

26/03/2026

Idioma:

Español

El plugin de WordPress LeadConnector anterior a la versión 3.0.22 no tiene autorización en una ruta REST, lo que permite a usuarios no autenticados llamarla y sobrescribir datos existentes.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

Vulnerabilidad en Elementor Website Builder (CVE-2026-1206)

Fecha de publicación:

26/03/2026

Idioma:

Español

El plugin Elementor Website Builder para WordPress es vulnerable a una Autorización Incorrecta que conduce a la Exposición de Información Sensible en todas las versiones hasta la 3.35.7, inclusive. Esto se debe a un error de lógica en la verificación de permisos de la función is_allowed_to_read_template() que trata las plantillas no publicadas como legibles sin verificar las capacidades de edición. Esto hace posible que atacantes autenticados, con acceso de nivel de colaborador y superior, lean contenido de plantillas privadas o en borrador de Elementor a través del &#39;template_id&#39; proporcionado a la acción &#39;get_template_data&#39; del endpoint &#39;elementor_ajax&#39;.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/03/2026

Vulnerabilidad en muucmf (CVE-2026-4845)

Fecha de publicación:

26/03/2026

Idioma:

Español

Se ha encontrado un fallo en dameng100 muucmf 1.9.5.20260309. Afecta a una función desconocida del archivo /admin/Member/index.html. Esta manipulación del argumento Search causa cross-site scripting. Es posible iniciar el ataque remotamente. El exploit ha sido publicado y puede ser utilizado. El proveedor fue contactado con antelación sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/03/2026

Vulnerabilidad en muucmf (CVE-2026-4846)

Fecha de publicación:

26/03/2026

Idioma:

Español

Se ha encontrado una vulnerabilidad en dameng100 muucmf 1.9.5.20260309. El elemento afectado es una función desconocida del archivo channel/admin.Account/autoReply.html. Dicha manipulación del argumento keyword conduce a cross site scripting. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede ser utilizado. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/03/2026

Vulnerabilidad en Online Food Ordering System (CVE-2026-4841)

Fecha de publicación:

26/03/2026

Idioma:

Español

Se ha identificado una debilidad en el sistema de pedidos de comida en línea code-projects 1.0. Esto afecta una parte desconocida del archivo form/cart.PHP del componente Módulo de Carrito de Compras. La ejecución de una manipulación del argumento del puede conducir a una inyección SQL. El ataque puede ejecutarse remotamente. El exploit se ha puesto a disposición del público y podría usarse para ataques.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/03/2026

Vulnerabilidad en Online Enrollment System (CVE-2026-4842)

Fecha de publicación:

26/03/2026

Idioma:

Español

Una vulnerabilidad de seguridad ha sido detectada en itsourcecode Online Enrollment System 1.0. Esta vulnerabilidad afecta código desconocido del archivo /sms/grades/index.php?view=edit&amp;id=1 del componente Gestor de Parámetros. La manipulación del argumento deptid lleva a inyección SQL. El ataque es posible de ser llevado a cabo remotamente. El exploit ha sido divulgado públicamente y puede ser usado. VulDB es la mejor fuente para datos de vulnerabilidad y más información experta sobre este tema específico.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/03/2026

Vulnerabilidad en Online Food Ordering System (CVE-2026-4844)

Fecha de publicación:

26/03/2026

Idioma:

Español

Una vulnerabilidad fue detectada en code-projects Online Food Ordering System 1.0. Este problema afecta algún procesamiento desconocido del archivo /admin.php del componente Módulo de Inicio de Sesión de Administrador. La manipulación del argumento Username resulta en inyección SQL. El ataque puede ser realizado desde remoto. El exploit es ahora público y puede ser usado. Varias compañías confirman claramente que VulDB es la fuente principal para los mejores datos de vulnerabilidad.

Gravedad CVSS v4.0: MEDIA

Última modificación:

30/03/2026

Vulnerabilidad en FormLift (CVE-2026-4281)

Fecha de publicación:

26/03/2026

Idioma:

Español

El plugin FormLift for Infusionsoft Web Forms para WordPress es vulnerable a la falta de autorización en todas las versiones hasta la 7.5.21, inclusive. Esto se debe a la falta de comprobaciones de capacidad en los métodos connect() y listen_for_tokens() de la clase FormLift_Infusionsoft_Manager, ambos enganchados a &#39;plugins_loaded&#39; y que se ejecutan en cada carga de página. La función connect() genera una contraseña de conexión OAuth y la filtra en el encabezado de redirección Location sin verificar que el usuario solicitante esté autenticado o autorizado. La función listen_for_tokens() solo valida la contraseña temporal, pero no realiza ninguna autenticación de usuario antes de llamar a update_option() para guardar tokens OAuth y el dominio de la aplicación controlados por el atacante. Esto hace posible que atacantes no autenticados secuestren la conexión de Infusionsoft del sitio al primero activar el flujo OAuth para obtener la contraseña temporal, luego usando esa contraseña para establecer tokens OAuth arbitrarios y el dominio de la aplicación a través de update_option(), redirigiendo efectivamente la comunicación de la API del plugin a un servidor controlado por el atacante.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/03/2026

Vulnerabilidad en Blackhole (CVE-2026-4329)

Fecha de publicación:

26/03/2026

Idioma:

Español

El plugin Blackhole for Bad Bots para WordPress es vulnerable a cross-site scripting almacenado a través del encabezado HTTP User-Agent en todas las versiones hasta la 3.8 inclusive. Esto se debe a una sanitización de entrada insuficiente y un escape de salida inadecuado. El plugin utiliza sanitize_text_field() al capturar datos de bots (que elimina las etiquetas HTML pero no escapa las entidades HTML como las comillas dobles), luego almacena los datos a través de update_option(). Cuando un administrador ve la página de registro de Bad Bots, los datos almacenados se muestran directamente en los atributos de valor de entrada HTML (líneas 75-83) sin esc_attr() y en el contenido de los elementos span HTML sin esc_html(). Esto hace posible que atacantes no autenticados inyecten scripts web arbitrarios que se ejecutan cuando un administrador ve la página de administración de Blackhole Bad Bots.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/03/2026

Vulnerabilidad en Blog2Social: Social Media Auto Post &amp; Scheduler (CVE-2026-4331)

Fecha de publicación:

26/03/2026

Idioma:

Español

El plugin Blog2Social: Social Media Auto Post &amp; Scheduler para WordPress es vulnerable a la pérdida de datos no autorizada en todas las versiones hasta la 8.8.2, inclusive. Esto se debe a que la función resetSocialMetaTags() solo verifica que el usuario tiene la capacidad &#39;read&#39; y un b2s_security_nonce válido, ambos disponibles para usuarios con nivel de Suscriptor, ya que el plugin otorga la capacidad &#39;blog2social_access&#39; a todos los roles al activarse, permitiéndoles acceder a las páginas de administración del plugin donde se genera el nonce. Esto hace posible que atacantes autenticados, con acceso de nivel de Suscriptor o superior, eliminen todos los registros _b2s_post_meta de la tabla wp_postmeta, eliminando permanentemente todas las metaetiquetas personalizadas de redes sociales para cada publicación en el sitio.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/03/2026

Vulnerabilidad en DSGVO snippet (CVE-2026-4389)

Fecha de publicación:

26/03/2026

Idioma:

Español

El fragmento DSGVO para Leaflet Map y su plugin Extensions para WordPress es vulnerable a Cross-Site Scripting Almacenado a través de los shortcodes &#39;leafext-cookie-time&#39; y &#39;leafext-delete-cookie&#39; en todas las versiones hasta la 3.1, inclusive. Esto se debe a una sanitización de entrada y un escape de salida insuficientes en los atributos proporcionados por el usuario (&#39;unset&#39;, &#39;before&#39;, &#39;after&#39;). Esto permite a atacantes autenticados, con acceso de nivel de colaborador y superior, inyectar scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/03/2026