Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-5276

Fecha de publicación:

01/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Insufficient policy enforcement in WebUSB in Google Chrome prior to 146.0.7680.178 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High)

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/04/2026

CVE-2026-5277

Fecha de publicación:

01/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Integer overflow in ANGLE in Google Chrome on Windows prior to 146.0.7680.178 allowed a remote attacker who had compromised the renderer process to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: High)

Gravedad CVSS v3.1: ALTA

Última modificación:

01/04/2026

CVE-2026-5254

Fecha de publicación:

01/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security vulnerability has been detected in welovemedia FFmate up to 2.0.15. Affected by this issue is some unknown functionality of the file /ui/app/components/AppJsonTreeView.vue of the component Webhook Handler. The manipulation leads to cross site scripting. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Vulnerabilidad en HotGo de bufanyun (CVE-2026-5253)

Fecha de publicación:

01/04/2026

Idioma:

Español

Se ha identificado una debilidad en bufanyun HotGo 1.0/2.0. Afectada por esta vulnerabilidad es una funcionalidad desconocida del archivo /web/src/layout/components/Header/MessageList.vue del componente editNotice Endpoint. La ejecución de una manipulación puede llevar a cross site scripting. El ataque puede ser lanzado remotamente. El exploit ha sido puesto a disposición del público y podría ser utilizado para ataques. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Vulnerabilidad en admin de z-9527 (CVE-2026-5252)

Fecha de publicación:

01/04/2026

Idioma:

Español

Una falla de seguridad ha sido descubierta en z-9527 admin 1.0/2.0. Afectada es una función desconocida del archivo /servidor/routes/message.js del componente Message Create Endpoint. Realizar una manipulación resulta en cross site scripting. El ataque puede ser iniciado remotamente. El exploit ha sido liberado al público y puede ser usado para ataques. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Vulnerabilidad en admin de z-9527 (CVE-2026-5251)

Fecha de publicación:

01/04/2026

Idioma:

Español

Una vulnerabilidad fue identificada en z-9527 admin 1.0/2.0. Esto afecta una función desconocida del archivo /servidor/routes/user.js del componente User Update Endpoint. Dicha manipulación del argumento isAdmin con la entrada 1 conduce a atributos de objeto determinados dinámicamente. Es posible lanzar el ataque remotamente. El exploit está disponible públicamente y podría ser utilizado. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Vulnerabilidad en plugin Database for Contact Form 7, WPforms, Elementor forms para WordPress (CVE-2026-3831)

Fecha de publicación:

01/04/2026

Idioma:

Español

El plugin Database for Contact Form 7, WPforms, Elementor forms para WordPress es vulnerable a acceso no autorizado de datos debido a una comprobación de capacidad faltante en la función entries_shortcode() en todas las versiones hasta la 1.4.9, inclusive. Esto hace posible que atacantes autenticados, con acceso de nivel Colaborador y superior, extraigan todos los envíos de formulario, incluyendo nombres, correos electrónicos y números de teléfono.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/04/2026

Vulnerabilidad en Connext Professional de RTI (CVE-2026-4374)

Fecha de publicación:

01/04/2026

Idioma:

Español

Vulnerabilidad de restricción incorrecta de referencia a entidad externa XML en RTI Connext Professional (Routing Service, Observability Collector, Recording Service, Queueing Service, Cloud Discovery Service) permite el enlace externo de datos serializados, la serialización de datos...

Gravedad CVSS v4.0: ALTA

Última modificación:

21/04/2026

Vulnerabilidad en Foxit PDF Editor y Reader (CVE-2026-3780)

Fecha de publicación:

01/04/2026

Idioma:

Español

El instalador de la aplicación se ejecuta con privilegios elevados, pero resuelve los ejecutables del sistema y las DLLs utilizando rutas de búsqueda no confiables que pueden incluir directorios escribibles por el usuario, permitiendo a un atacante local colocar binarios maliciosos con los mismos nombres y que estos sean cargados o ejecutados en lugar de los archivos legítimos del sistema, resultando en una escalada de privilegios local.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/04/2026

Vulnerabilidad en Foxit PDF Editor y Reader (CVE-2026-3779)

Fecha de publicación:

01/04/2026

Idioma:

Español

La lógica de cálculo de la matriz del cuadro de lista de la aplicación mantiene referencias obsoletas a objetos de página o formulario después de que son eliminados o recreados, lo que permite que documentos manipulados activen un uso después de liberación cuando se ejecuta el cálculo y puede conducir potencialmente a ejecución de código arbitrario.

Gravedad CVSS v3.1: ALTA

Última modificación:

28/04/2026

Vulnerabilidad en na1.foxitesign.foxit.com de Foxit Software Inc. (CVE-2026-4947)

Fecha de publicación:

01/04/2026

Idioma:

Español

Se abordó una posible vulnerabilidad de referencia directa a objeto inseguro (IDOR) en el proceso de aceptación de invitación de firma. Bajo ciertas condiciones, este problema podría haber permitido a un atacante acceder o modificar recursos no autorizados manipulando identificadores de objeto proporcionados por el usuario, lo que podría llevar a firmas falsificadas y comprometer la integridad y autenticidad de los documentos en proceso de firma. El problema fue causado por una validación de autorización insuficiente en los recursos referenciados durante el procesamiento de solicitudes.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/04/2026

Vulnerabilidad en gougucms (CVE-2026-5249)

Fecha de publicación:

01/04/2026

Idioma:

Español

Se encontró una vulnerabilidad en gougucms 4.08.18. Esto afecta una función desconocida del archivo \gougucms-master\app\admin\view\user\record.html del componente Record Endpoint. Realizar una manipulación del argumento value.content resulta en cross site scripting. Es posible iniciar el ataque de forma remota. El exploit ha sido hecho público y podría ser utilizado. El proveedor fue contactado tempranamente sobre esta divulgación, pero no respondió de ninguna manera.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

Suscribirse a Vulnerabilidades