Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-12698

Fecha de publicación:

04/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The wpForo Forum WordPress plugin before 3.1.3 does not restrict which profile fields a member may set when editing their own account, allowing users with a subscriber-level account to write administrator-controlled account-state and reputation fields on their own profile, including self-activating a pending or banned account and forging their forum reputation score.

Gravedad: Pendiente de análisis

Última modificación:

04/08/2026

CVE-2026-14816

Fecha de publicación:

04/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The GDPR Framework By Data443 WordPress plugin before 2.4.0 does not properly verify authorization or the identity of the data subject when recording cookie-consent choices and privacy requests, allowing unauthenticated attackers to forge consent records for arbitrary email addresses and to flood the site&#39;s privacy-request queue with arbitrary entries.

Gravedad: Pendiente de análisis

Última modificación:

04/08/2026

CVE-2026-14824

Fecha de publicación:

04/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Quiz and Survey Master (QSM) WordPress plugin before 11.2.2 does not properly escape a question setting before outputting it into an unquoted HTML attribute, allowing users with contributor-level access and above to inject arbitrary JavaScript that executes in the browser of any user viewing the affected quiz.

Gravedad: Pendiente de análisis

Última modificación:

04/08/2026

CVE-2026-14848

Fecha de publicación:

04/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Paid Membership Subscriptions WordPress plugin before 3.0.8 does not verify that the subscription being modified through its change-subscription checkout belongs to the current user, allowing any authenticated user with Subscriber-level access and above to take over another member&#39;s subscription and overwrite its plan, status and expiration.

Gravedad: Pendiente de análisis

Última modificación:

04/08/2026

CVE-2026-14872

Fecha de publicación:

04/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Database for Contact Form 7, WPforms, Elementor forms WordPress plugin before 1.5.5 does not properly sanitise and escape a parameter before using it in a SQL statement, leading to a SQL Injection exploitable by users granted a specific capability which is limited to administrators by default but can be delegated to lower privileged roles.

Gravedad: Pendiente de análisis

Última modificación:

04/08/2026

CVE-2026-18569

Fecha de publicación:

04/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in the backchannel logout endpoint of the keycloak-services component, which is part of the Red Hat Build of Keycloak. This component handles authentication and session management for applications. The issue occurs when an OIDC identity provider is configured to skip signature validation. In this specific setup, the system incorrectly accepts logout requests that have no cryptographic signature. An attacker who knows certain technical details about a user&#39;s session can use this flaw to force that user to be logged out, potentially disrupting their work.

Gravedad CVSS v3.1: BAJA

Última modificación:

04/08/2026

CVE-2026-18739

Fecha de publicación:

04/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in popt, a command-line option parsing library. An off-by-one error in the poptStuffArgs function, when repeatedly called by a host application or through deep alias nesting, can lead to corruption of internal program data. This corruption could potentially enable a local attacker to execute arbitrary code if the host application then unsafely processes the altered data.

Gravedad CVSS v3.1: BAJA

Última modificación:

04/08/2026

CVE-2026-68744

Fecha de publicación:

04/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in SSSD. The sss_nss_protocol_fill_initgr() function in the NSS responder pre-allocates reply space for all group entries but does not shrink the packet when groups are skipped, causing uninitialized heap bytes to be transmitted to the client. A local attacker can exploit this to disclose cached directory data and heap layout information from the sssd_nss process.

Gravedad CVSS v3.1: BAJA

Última modificación:

04/08/2026

CVE-2026-16881

Fecha de publicación:

04/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A code injection vulnerability exists in the LINE Android app prior to version 26.7.2. The profile rendering component does not adequately validate or sandbox externally supplied script content embedded in profile templates. As a result, an attacker who is able to place crafted content in a profile could cause unintended code to execute with the application&#39;s privileges when a victim views that profile. A server-side mitigation has been deployed that also protects existing Android clients that have not been updated to version 26.7.2.

Gravedad CVSS v4.0: ALTA

Última modificación:

04/08/2026

CVE-2026-18721

Fecha de publicación:

04/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability has been found in kalcaddle kodbox 1.67 Build 02. This issue affects some unknown processing of the file /user/sso/apiLogin of the component SSO API Login. The manipulation of the argument callbackUrl leads to open redirect. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: BAJA

Última modificación:

04/08/2026

CVE-2026-18722

Fecha de publicación:

04/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was found in diaowen DWSurvey up to 6.14.0. Impacted is the function in DwDeisgnSurveyController.devSurvey. of the file /api/dwsurvey/app/v6/dw-design-survey/dev-survey.do of the component Survey Handler. The manipulation results in authorization bypass. The attack can be launched remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: BAJA

Última modificación:

04/08/2026

CVE-2026-18723

Fecha de publicación:

04/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was determined in diaowen DWSurvey up to 6.14.0. The affected element is an unknown function of the file /api/dwsurvey/app/survey/up-survey-status.do of the component Survey Status Handler. This manipulation causes improper authorization. The attack may be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: BAJA

Última modificación:

04/08/2026

Suscribirse a Vulnerabilidades