Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Blackhole (CVE-2026-4329)
Fecha de publicación:
26/03/2026
Idioma:
Español
El plugin Blackhole for Bad Bots para WordPress es vulnerable a cross-site scripting almacenado a través del encabezado HTTP User-Agent en todas las versiones hasta la 3.8 inclusive. Esto se debe a una sanitización de entrada insuficiente y un escape de salida inadecuado. El plugin utiliza sanitize_text_field() al capturar datos de bots (que elimina las etiquetas HTML pero no escapa las entidades HTML como las comillas dobles), luego almacena los datos a través de update_option(). Cuando un administrador ve la página de registro de Bad Bots, los datos almacenados se muestran directamente en los atributos de valor de entrada HTML (líneas 75-83) sin esc_attr() y en el contenido de los elementos span HTML sin esc_html(). Esto hace posible que atacantes no autenticados inyecten scripts web arbitrarios que se ejecutan cuando un administrador ve la página de administración de Blackhole Bad Bots.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/04/2026

Vulnerabilidad en Blog2Social: Social Media Auto Post & Scheduler (CVE-2026-4331)
Fecha de publicación:
26/03/2026
Idioma:
Español
El plugin Blog2Social: Social Media Auto Post & Scheduler para WordPress es vulnerable a la pérdida de datos no autorizada en todas las versiones hasta la 8.8.2, inclusive. Esto se debe a que la función resetSocialMetaTags() solo verifica que el usuario tiene la capacidad 'read' y un b2s_security_nonce válido, ambos disponibles para usuarios con nivel de Suscriptor, ya que el plugin otorga la capacidad 'blog2social_access' a todos los roles al activarse, permitiéndoles acceder a las páginas de administración del plugin donde se genera el nonce. Esto hace posible que atacantes autenticados, con acceso de nivel de Suscriptor o superior, eliminen todos los registros _b2s_post_meta de la tabla wp_postmeta, eliminando permanentemente todas las metaetiquetas personalizadas de redes sociales para cada publicación en el sitio.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/04/2026

Vulnerabilidad en DSGVO snippet (CVE-2026-4389)
Fecha de publicación:
26/03/2026
Idioma:
Español
El fragmento DSGVO para Leaflet Map y su plugin Extensions para WordPress es vulnerable a Cross-Site Scripting Almacenado a través de los shortcodes 'leafext-cookie-time' y 'leafext-delete-cookie' en todas las versiones hasta la 3.1, inclusive. Esto se debe a una sanitización de entrada y un escape de salida insuficientes en los atributos proporcionados por el usuario ('unset', 'before', 'after'). Esto permite a atacantes autenticados, con acceso de nivel de colaborador y superior, inyectar scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/04/2026

Vulnerabilidad en Power 15AX (CVE-2026-4840)
Fecha de publicación:
26/03/2026
Idioma:
Español
Se ha descubierto una vulnerabilidad de seguridad en Netcore Power 15AX hasta la versión 3.0.0.6938. Afectada por este problema es la función setTools del archivo /bin/netis.cgi del componente Diagnostic Tool Interface. Realizar una manipulación del argumento IpAddr resulta en inyección de comandos del sistema operativo. La explotación remota del ataque es posible. El exploit ha sido liberado al público y puede ser utilizado para ataques. El proveedor fue contactado con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v4.0: ALTA
Última modificación:
24/04/2026

Vulnerabilidad en Digital Photo Frame GH-WDF10A (CVE-2026-33201)
Fecha de publicación:
26/03/2026
Idioma:
Español
El Marco de Fotos Digital GH-WDF10A proporcionado por GREEN HOUSE CO., LTD. contiene una vulnerabilidad de código de depuración activo. Si esta vulnerabilidad es explotada, los archivos o configuraciones en el dispositivo afectado pueden ser leídos o escritos, o archivos arbitrarios pueden ser ejecutados con privilegios de root.
Gravedad CVSS v4.0: ALTA
Última modificación:
26/03/2026

Vulnerabilidad en Booking for Appointments and Events Calendar – Amelia (CVE-2026-2931)
Fecha de publicación:
26/03/2026
Idioma:
Español
El plugin Amelia Booking para WordPress es vulnerable a Referencias Directas Inseguras a Objetos en versiones hasta la 9.1.2, inclusive. Esto se debe a que el plugin proporciona acceso controlado por el usuario a objetos, permitiendo a un usuario omitir la autorización y acceder a recursos del sistema. Esto hace posible que atacantes autenticados con permisos de nivel de cliente o superiores cambien contraseñas de usuarios y potencialmente tomen el control de cuentas de administrador. La vulnerabilidad se encuentra en el plugin pro, que tiene el mismo slug.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/04/2026

Vulnerabilidad en Simple Download Counter (CVE-2026-4278)
Fecha de publicación:
26/03/2026
Idioma:
Español
El plugin Simple Download Counter para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del shortcode 'sdc_menu' en todas las versiones hasta la 2.3, inclusive. Esto se debe a una sanitización de entrada y un escape de salida insuficientes en los atributos de shortcode proporcionados por el usuario, específicamente los atributos 'text' y 'cat'. El atributo 'text' se envía directamente al contenido HTML en la línea 159 sin ningún escape (p. ej., esc_html()). El atributo 'cat' se utiliza sin escape en los atributos de clase HTML en las líneas 135 y 157 sin esc_attr(). Esto hace posible que atacantes autenticados, con acceso de nivel Colaborador y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/04/2026

Vulnerabilidad en Food Ordering System de SourceCodester (CVE-2026-4839)
Fecha de publicación:
26/03/2026
Idioma:
Español
Una vulnerabilidad ha sido encontrada en SourceCodester Food Ordering System 1.0. Esto afecta una función desconocida del archivo /purchase.PHP del componente Gestor de Parámetros. La manipulación del argumento custom conduce a inyección SQL. El ataque puede ser iniciado remotamente. El exploit ha sido divulgado al público y puede ser utilizado.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2026

Vulnerabilidad en Malawi Online Market de SourceCodester (CVE-2026-4838)
Fecha de publicación:
26/03/2026
Idioma:
Español
Se ha encontrado una falla en SourceCodester Malawi Online Market 1.0. El elemento afectado es una función desconocida del archivo /display.PHP. La ejecución de una manipulación del argumento ID puede conducir a una inyección SQL. Es posible lanzar el ataque remotamente. El exploit ha sido publicado y puede ser utilizado. Si desea obtener la mejor calidad para datos de vulnerabilidades, entonces siempre debe considerar VulDB.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2026

Vulnerabilidad en plugin BWL Advanced FAQ Manager Lite para WordPress (CVE-2026-4075)
Fecha de publicación:
26/03/2026
Idioma:
Español
El plugin BWL Advanced FAQ Manager Lite para WordPress es vulnerable a cross-site scripting almacenado a través del shortcode 'baf_sbox' en todas las versiones hasta la 1.1.1 inclusive. Esto se debe a una sanitización de entrada y un escape de salida insuficientes en los atributos de shortcode proporcionados por el usuario, como 'sbox_id', 'sbox_class', 'placeholder', 'highlight_color', 'highlight_bg' y 'cont_ext_class'. Estos atributos se interpolan directamente en atributos de elementos HTML sin ningún escape esc_attr() en la función baf_sbox(). Esto hace posible que atacantes autenticados, con acceso de nivel Colaborador y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/04/2026

Vulnerabilidad en plugin ShortPixel Image Optimizer para WordPress (CVE-2026-4335)
Fecha de publicación:
26/03/2026
Idioma:
Español
El plugin ShortPixel Image Optimizer para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del post_title del adjunto en todas las versiones hasta la 6.4.3, inclusive. Esto se debe a un escape de salida insuficiente en la función getEditorPopup() y su plantilla media-popup.php correspondiente. Específicamente, el post_title del adjunto se recupera de la base de datos a través de get_post() en AjaxController.php (línea 435) y se pasa directamente a la plantilla de vista (línea 449), donde se renderiza en el atributo 'value' de un elemento de entrada HTML sin el escape esc_attr() (media-popup.php línea 139). Dado que WordPress permite a los autores establecer títulos de adjuntos arbitrarios (incluyendo caracteres de comillas dobles) a través de la API REST, un autor malicioso puede crear un título de adjunto que se escapa del atributo HTML e inyecta controladores de eventos JavaScript arbitrarios. Esto hace posible que atacantes autenticados, con acceso de nivel de Autor o superior, inyecten scripts web arbitrarios que se ejecutan cada vez que un usuario con mayores privilegios (como un administrador) abre la ventana emergente del editor de IA de ShortPixel (Eliminación de Fondo o Escalado de Imagen) para el adjunto envenenado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/04/2026

Vulnerabilidad en plugin Frontend Admin by DynamiApps para WordPress (CVE-2026-3328)
Fecha de publicación:
26/03/2026
Idioma:
Español
El plugin Frontend Admin de DynamiApps para WordPress es vulnerable a Inyección de Objetos PHP a través de la deserialización del 'post_content' de publicaciones de tipo admin_form en todas las versiones hasta la 3.28.31, inclusive. Esto se debe al uso de la función 'maybe_unserialize()' de WordPress sin restricciones de clase en el contenido controlable por el usuario almacenado en el contenido de publicaciones de tipo admin_form. Esto permite a atacantes autenticados, con acceso de nivel Editor o superior, inyectar un Objeto PHP. La presencia adicional de una cadena POP permite a los atacantes lograr ejecución remota de código.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/04/2026
Suscribirse a Vulnerabilidades