Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2025-12669

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** GitLab has remediated an issue in GitLab CE/EE affecting all versions from 15.11 before 18.9.7, 18.10 before 18.10.6, and 18.11 before 18.11.3 that could have allowed an authenticated user to inject HTML and JavaScript into email notifications sent to other users due to improper input sanitization.

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/05/2026

CVE-2026-7648

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The LearnPress – WordPress LMS Plugin for Create and Sell Online Courses plugin for WordPress is vulnerable to payment bypass through user-controlled key in all versions up to, and including, 4.3.5. This is due to improper handling of user-supplied request parameters in the REST API endpoint, which passes the unsanitized parameter array to the add_to_cart() function where array_merge() allows attacker-controlled values to overwrite hardcoded defaults. This makes it possible for authenticated attackers, with subscriber-level access and above, to enroll in any paid course entirely free of charge by supplying a quantity value of zero, which causes the order total to calculate as $0 and bypasses all payment gateway requirements.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2026

CVE-2026-7525

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The My Calendar – Accessible Event Manager plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 3.7.9. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with custom-level access and above, to bypass the moderation and approval workflow by tampering with the POST body to publish events or set other unauthorized statuses such as cancelled or private, in ways their role does not permit. While the UI correctly restricts low-privilege users to a draft-only submit button, this restriction is enforced only client-side, making it trivially bypassable by directly manipulating the POST request.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2026

CVE-2026-5361

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Envira Gallery Lite plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the REST API in versions up to and including 1.12.4. This is due to insufficient input sanitization in the update_gallery_data() function and improper output escaping in the gallery_init() function. The sanitize_config_values() function only sanitizes the justified_gallery_theme and justified_row_height parameters, but does not sanitize the arrows parameter. When the arrows value is output in the inline JavaScript configuration, it uses esc_attr() which is designed for HTML attribute contexts, not JavaScript contexts, allowing JavaScript expression injection. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2026

CVE-2026-5486

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Unlimited Elements for Elementor plugin for WordPress is vulnerable to SQL Injection via the &#39;data[filter_search]&#39; parameter in the get_cat_addons AJAX action in versions up to and including 2.0.7. This is due to insufficient input sanitization and the use of deprecated escaping functions combined with direct string concatenation in SQL query construction. The vulnerability is exacerbated because the normalizeAjaxInputData() function calls stripslashes() on all user input, removing the protection provided by WordPress&#39;s wp_magic_quotes() function. Subsequently, the filter_search parameter is escaped using the deprecated wpdb->_escape() function and then directly concatenated into a LIKE clause without using prepared statements. This makes it possible for authenticated attackers, with Contributor-level access and above (who can obtain a valid nonce through the Elementor editor), to inject arbitrary SQL commands and extract sensitive information from the database.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2026

CVE-2026-46445

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** SOGo before 5.12.7, when PostgreSQL is used, allows SQL injection.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2026

CVE-2026-46446

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** SOGo before 5.12.7, when PostgreSQL or MariaDB is used, and cleartext passwords are stored, allows SQL injection. This is related to c_password = &#39;%@&#39; in changePasswordForLogin.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2026

CVE-2026-44919

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** In OpenStack Ironic through 35.x before a3f6d73, during image handling, an infinite loop in checksum calculations can occur via the file:///dev/zero URL.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/05/2026

CVE-2026-46419

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Yubico webauthn-server-core (aka java-webauthn-server) 2.8.0 before 2.8.2 incorrectly checks a function&#39;s return value in the second factor flow, leading to impersonation.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2026

CVE-2026-41281

Fecha de publicación:

14/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Android App "あんしんフィルター for au" provided by KDDI CORPORATION contains Cleartext Transmission of Sensitive Information (CWE-319) vulnerability. A man-in-the-middle attacker may access and modify communications transmitted in plaintext, potentially resulting in information disclosure or data tampering.

Gravedad CVSS v4.0: MEDIA

Última modificación:

14/05/2026

CVE-2026-32991

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper authorization checks of team members privileges allow a team member to escalate privileges to the team owner account.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/05/2026

CVE-2026-8500

Fecha de publicación:

13/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Web::Passwd versions through 0.03 for Perl is vulnerable to RCE.<br /> <br /> Web::Passwd is a small CGI application for managing htpasswd files using the htpasswd command.<br /> <br /> The user parameter is not validated or escaped, and is used as the last argument on the command line, allowing for command injection.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/05/2026

Suscribirse a Vulnerabilidades