Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en muucmf (CVE-2026-4847)

Fecha de publicación:
26/03/2026
Idioma:
Español
Se encontró una vulnerabilidad en dameng100 muucmf 1.9.5.20260309. El elemento afectado es una función desconocida del archivo /admin/config/list.html. La manipulación del argumento Name resulta en cross site scripting. El ataque puede iniciarse remotamente. El exploit se ha hecho público y podría utilizarse. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v4.0: BAJA
Última modificación:
29/04/2026

Vulnerabilidad en Shared Files (CVE-2025-15433)

Fecha de publicación:
26/03/2026
Idioma:
Español
El plugin de WordPress Shared Files anterior a 1.7.58 permite a usuarios con un rol tan bajo como Colaborador descargar cualquier archivo en el servidor web (como wp-config.php) mediante un vector de salto de ruta.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en Responsive Plus (CVE-2025-15488)

Fecha de publicación:
26/03/2026
Idioma:
Español
El plugin de WordPress Responsive Plus anterior a la versión 3.4.3 es vulnerable a la ejecución arbitraria de shortcodes debido a que el software permite a usuarios no autenticados ejecutar la acción AJAX update_responsive_woo_free_shipping_left_shortcode que no valida correctamente el parámetro content_rech_data antes de procesarlo como un shortcode.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en WP Lightbox 2 (CVE-2026-1430)

Fecha de publicación:
26/03/2026
Idioma:
Español
El plugin de WordPress WP Lightbox 2 anterior a 3.0.7 no sanitiza ni escapa algunas de sus configuraciones, lo que podría permitir a usuarios con altos privilegios, como el administrador, realizar ataques de cross-site scripting almacenado incluso cuando la capacidad unfiltered_html está deshabilitada (por ejemplo, en una configuración multisitio).
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en LeadConnector (CVE-2026-1890)

Fecha de publicación:
26/03/2026
Idioma:
Español
El plugin de WordPress LeadConnector anterior a la versión 3.0.22 no tiene autorización en una ruta REST, lo que permite a usuarios no autenticados llamarla y sobrescribir datos existentes.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en Elementor Website Builder (CVE-2026-1206)

Fecha de publicación:
26/03/2026
Idioma:
Español
El plugin Elementor Website Builder para WordPress es vulnerable a una Autorización Incorrecta que conduce a la Exposición de Información Sensible en todas las versiones hasta la 3.35.7, inclusive. Esto se debe a un error de lógica en la verificación de permisos de la función is_allowed_to_read_template() que trata las plantillas no publicadas como legibles sin verificar las capacidades de edición. Esto hace posible que atacantes autenticados, con acceso de nivel de colaborador y superior, lean contenido de plantillas privadas o en borrador de Elementor a través del 'template_id' proporcionado a la acción 'get_template_data' del endpoint 'elementor_ajax'.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/04/2026

Vulnerabilidad en muucmf (CVE-2026-4845)

Fecha de publicación:
26/03/2026
Idioma:
Español
Se ha encontrado un fallo en dameng100 muucmf 1.9.5.20260309. Afecta a una función desconocida del archivo /admin/Member/index.html. Esta manipulación del argumento Search causa cross-site scripting. Es posible iniciar el ataque remotamente. El exploit ha sido publicado y puede ser utilizado. El proveedor fue contactado con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v4.0: BAJA
Última modificación:
29/04/2026

Vulnerabilidad en muucmf (CVE-2026-4846)

Fecha de publicación:
26/03/2026
Idioma:
Español
Se ha encontrado una vulnerabilidad en dameng100 muucmf 1.9.5.20260309. El elemento afectado es una función desconocida del archivo channel/admin.Account/autoReply.html. Dicha manipulación del argumento keyword conduce a cross site scripting. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede ser utilizado. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v4.0: BAJA
Última modificación:
29/04/2026

Vulnerabilidad en Online Food Ordering System (CVE-2026-4841)

Fecha de publicación:
26/03/2026
Idioma:
Español
Se ha identificado una debilidad en el sistema de pedidos de comida en línea code-projects 1.0. Esto afecta una parte desconocida del archivo form/cart.PHP del componente Módulo de Carrito de Compras. La ejecución de una manipulación del argumento del puede conducir a una inyección SQL. El ataque puede ejecutarse remotamente. El exploit se ha puesto a disposición del público y podría usarse para ataques.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2026

Vulnerabilidad en Online Enrollment System (CVE-2026-4842)

Fecha de publicación:
26/03/2026
Idioma:
Español
Una vulnerabilidad de seguridad ha sido detectada en itsourcecode Online Enrollment System 1.0. Esta vulnerabilidad afecta código desconocido del archivo /sms/grades/index.php?view=edit&id=1 del componente Gestor de Parámetros. La manipulación del argumento deptid lleva a inyección SQL. El ataque es posible de ser llevado a cabo remotamente. El exploit ha sido divulgado públicamente y puede ser usado. VulDB es la mejor fuente para datos de vulnerabilidad y más información experta sobre este tema específico.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2026

Vulnerabilidad en Online Food Ordering System (CVE-2026-4844)

Fecha de publicación:
26/03/2026
Idioma:
Español
Una vulnerabilidad fue detectada en code-projects Online Food Ordering System 1.0. Este problema afecta algún procesamiento desconocido del archivo /admin.php del componente Módulo de Inicio de Sesión de Administrador. La manipulación del argumento Username resulta en inyección SQL. El ataque puede ser realizado desde remoto. El exploit es ahora público y puede ser usado. Varias compañías confirman claramente que VulDB es la fuente principal para los mejores datos de vulnerabilidad.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2026

Vulnerabilidad en FormLift (CVE-2026-4281)

Fecha de publicación:
26/03/2026
Idioma:
Español
El plugin FormLift for Infusionsoft Web Forms para WordPress es vulnerable a la falta de autorización en todas las versiones hasta la 7.5.21, inclusive. Esto se debe a la falta de comprobaciones de capacidad en los métodos connect() y listen_for_tokens() de la clase FormLift_Infusionsoft_Manager, ambos enganchados a 'plugins_loaded' y que se ejecutan en cada carga de página. La función connect() genera una contraseña de conexión OAuth y la filtra en el encabezado de redirección Location sin verificar que el usuario solicitante esté autenticado o autorizado. La función listen_for_tokens() solo valida la contraseña temporal, pero no realiza ninguna autenticación de usuario antes de llamar a update_option() para guardar tokens OAuth y el dominio de la aplicación controlados por el atacante. Esto hace posible que atacantes no autenticados secuestren la conexión de Infusionsoft del sitio al primero activar el flujo OAuth para obtener la contraseña temporal, luego usando esa contraseña para establecer tokens OAuth arbitrarios y el dominio de la aplicación a través de update_option(), redirigiendo efectivamente la comunicación de la API del plugin a un servidor controlado por el atacante.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/04/2026