Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-29116
Fecha de publicación:
10/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability has been found in some Dahua products could<br /> allow an unauthenticated remote attacker to send a specially crafted packet,<br /> triggering an exception that causes the system to reboot unexpectedly,<br /> resulting in a denial of service.
Gravedad CVSS v4.0: ALTA
Última modificación:
10/06/2026

CVE-2026-3326
Fecha de publicación:
10/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Xstore WordPress theme before 9.7.3 does not properly sanitise and escape a parameter before using it in a SQL statement via an AJAX action available to unauthenticated users, leading to a SQL injection
Gravedad CVSS v3.1: ALTA
Última modificación:
10/06/2026

CVE-2026-8071
Fecha de publicación:
10/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Anti-Spam by CleanTalk. Spam protection WordPress plugin before 6.79 does not properly sanitize content within a custom shortcode used in its email-encoding feature, allowing unauthenticated attackers to inject arbitrary web scripts into approved comments that will execute when any user (including administrators) views the post.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/06/2026

CVE-2026-9060
Fecha de publicación:
10/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Store Locator WordPress plugin before 1.6.6 does not sanitize and escape one of its settings before storing it and outputting it on the Store Locator WordPress plugin before 1.6.6 admin page, allowing high-privileged users such as administrators to perform Stored Cross-Site Scripting attacks even when the `unfiltered_html` capability is disallowed (e.g. in a multisite network where the super admin visits the page).
Gravedad CVSS v3.1: BAJA
Última modificación:
10/06/2026

CVE-2026-9067
Fecha de publicación:
10/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Schema &amp; Structured Data for WP &amp; AMP WordPress plugin before 1.60 does not check user capabilities on its frontend AJAX file-upload handlers and does not validate the actual content of uploaded files against the endpoint&amp;#39;s intended media type, allowing unauthenticated users to upload any file type accepted by WordPress&amp;#39;s media library through endpoints that should only accept images or videos.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/06/2026

CVE-2026-11815
Fecha de publicación:
10/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** An attacker who intercepts and tampers with traffic between the client application and the API Gateway server could potentially deserialize arbitrary objects. This vulnerability could lead to broken security expectations or remote code execution.
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/06/2026

CVE-2026-29114
Fecha de publicación:
10/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability has been found in some Dahua products. An attacker<br /> may obtain the device’s CA root certificate. If that CA is installed and<br /> trusted on client systems, the attacker could issue fraudulent certificates<br /> trusted by those clients and undermine the certificate trust chain.
Gravedad CVSS v4.0: BAJA
Última modificación:
10/06/2026

CVE-2026-10846
Fecha de publicación:
10/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** NLnet Labs ldns 1.2.0 up to and including versions 1.9.0, when used in applications as (stub) resolver over UDP, lacks matching the query destination address and port with the response source address and port. Furthermore not the query ID, neither the question of the query is matched with that of the response. This makes applications, that use ldns for (stub) resolver functionality over UDP, vulnerable for off-path poisoning attacks. The drill tool, which is shipped with ldns, suffers from this vulnerability.
Gravedad CVSS v4.0: ALTA
Última modificación:
10/06/2026

CVE-2026-26241
Fecha de publicación:
10/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A buffer overflow vulnerability has been reported to affect File Station 5. The remote attackers can then exploit the vulnerability to modify memory or crash processes.<br /> <br /> We have already fixed the vulnerability in the following version:<br /> File Station 5 5.5.6.5243 and later
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/06/2026

CVE-2026-11837
Fecha de publicación:
10/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A local privilege escalation vulnerability was found in the ansible.posix authorized_key module. The module&amp;#39;s keyfile() function uses os.chown() instead of os.lchown() and opens files without O_NOFOLLOW when managing SSH authorized keys. An unprivileged local user can pre-stage symbolic links in their ~/.ssh directory to redirect file ownership changes to arbitrary system paths when an operator runs the authorized_key task as root, leading to local privilege escalation.
Gravedad CVSS v3.1: ALTA
Última modificación:
10/06/2026

CVE-2026-26240
Fecha de publicación:
10/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** A buffer overflow vulnerability has been reported to affect File Station 5. The remote attackers can then exploit the vulnerability to modify memory or crash processes.<br /> <br /> We have already fixed the vulnerability in the following version:<br /> File Station 5 5.5.6.5243 and later
Gravedad CVSS v4.0: MEDIA
Última modificación:
10/06/2026

CVE-2025-8444
Fecha de publicación:
10/06/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Animation Addons for Elementor – GSAP Powered Elementor Addons &amp; Website Templates plugin for WordPress is vulnerable to DOM-Based Stored Cross-Site Scripting via the multiple parameters in all versions up to, and including, 2.6.7 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/06/2026
Suscribirse a Vulnerabilidades