Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-6183

Fecha de publicación:
13/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A security flaw has been discovered in code-projects Simple Content Management System 1.0. Affected by this issue is some unknown functionality of the file /web/index.php. Performing a manipulation of the argument ID results in sql injection. Remote exploitation of the attack is possible. The exploit has been released to the public and may be used for attacks.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2026

CVE-2026-36941

Fecha de publicación:
13/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Sourcecodester Online Resort Management System v1.0 is vulnerable to SQL Injection in the file /orms/admin/rooms/manage_room.php.
Gravedad CVSS v3.1: BAJA
Última modificación:
17/04/2026

CVE-2026-36943

Fecha de publicación:
13/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Sourcecodester Computer and Mobile Repair Shop Management System v1.0 is vulnerable to SQL injection in the file /rsms/admin/repairs/manage_repair.php.
Gravedad CVSS v3.1: BAJA
Última modificación:
17/04/2026

CVE-2026-36944

Fecha de publicación:
13/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Sourcecodester Computer and Mobile Repair Shop Management System v1.0 is vulnerale to SQL injection in the file/rsms/admin/repairs/view_details.php.
Gravedad CVSS v3.1: BAJA
Última modificación:
17/04/2026

CVE-2026-36945

Fecha de publicación:
13/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Sourcecodester Computer and Mobile Repair Shop Management System v1.0 is vulnerable to SQL injection in the file /rsms/admin/clients/manage_client.php
Gravedad CVSS v3.1: BAJA
Última modificación:
17/04/2026

CVE-2026-36942

Fecha de publicación:
13/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Sourcecodester Online Resort Management System v1.0 is vulnerable to SQL injection in the file /orms/admin/activities/manage_activity.php.
Gravedad CVSS v3.1: BAJA
Última modificación:
10/05/2026

CVE-2026-33858

Fecha de publicación:
13/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Dag Authors, who normally should not be able to execute code in the webserver context could craft XCom payload causing the webserver to execute arbitrary code. Since Dag Authors are already highly trusted, severity of this issue is Low.<br /> <br /> <br /> Users are recommended to upgrade to Apache Airflow 3.2.0, which resolves this issue.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/04/2026

CVE-2026-31283

Fecha de publicación:
13/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** In Totara LMS v19.1.5 and before, the forgot password API does not implement rate limiting for the target email address. which can be used for an Email Bombing attack. NOTE: the Supplier&amp;#39;s position is that the pwresettime configuration defaults to 30 minutes, the pwresettime configuration is a hard control enforced via flag PWRESET_STATUS_ALREADYSENT, and no further password-reset email messages are sent if this flag is active for a specific email address.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/04/2026

CVE-2026-31282

Fecha de publicación:
13/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Totara LMS v19.1.5 and before is vulnerable to Incorrect Access Control. The login page code can be manipulated to reveal the login form. An attacker can chain that with missing rate-limit on the login form to launch a brute force attack. NOTE: this is disputed by the Supplier because (1) local login is enabled/disabled server side (this is not a client side control); (2) there is no evidence SSO login can be bypassed to allow local login; and (3) there is no evidence that local login can be performed when disabled server side.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
06/05/2026

CVE-2026-31281

Fecha de publicación:
13/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** Totara LMS v19.1.5 and before is vulnerable to HTML Injection. An attacker can inject malicious HTML code in a message and send it to all the users in the application, resulting in executing the code and may lead to session hijacking and executing commands on the victim&amp;#39;s browser. NOTE: The supplier states that the product name is Totara Learning and that the functionality referenced is the in app messaging client. They note that the in app messaging client only has the ability to embed a specific allowed list of HTML tags commonly used for text enhancement, which includes italic, bold, underline, strong, etc. Last, they state that the in app messaging client cannot embed , , , , , , , , , , etc., and any attempt to embed tags or attributes outside of the allowed list (including onerror, onaction, etc.) is sanitized via DOMPurify.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/04/2026

CVE-2026-30999

Fecha de publicación:
13/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** A heap buffer overflow in the av_bprint_finalize() function of FFmpeg v8.0.1 allows attackers to cause a Denial of Service (DoS) via a crafted input.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2026

CVE-2026-30998

Fecha de publicación:
13/04/2026
Idioma:
Inglés
*** Pendiente de traducción *** An improper resource deallocation and closure vulnerability in the tools/zmqsend.c component of FFmpeg v8.0.1 allows attackers to cause a Denial of Service (DoS) via supplying a crafted input file.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2026