Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-15368

Fecha de publicación:

04/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** The SportsPress plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 2.7.26 via shortcodes &#39;template_name&#39; attribute. This makes it possible for authenticated attackers, with contributor-level and above permissions, to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where php file type can be uploaded and included.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/02/2026

CVE-2025-5329

Fecha de publicación:

04/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Improper Neutralization of Special Elements used in an SQL Command (&#39;SQL Injection&#39;) vulnerability in Martcode Software Inc. Delta Course Automation allows SQL Injection.This issue affects Delta Course Automation: through 04022026. NOTE: The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

04/02/2026

CVE-2026-24735

Fecha de publicación:

04/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Exposure of Private Personal Information to an Unauthorized Actor vulnerability in Apache Answer. This issue affects Apache Answer: through 1.7.1. An unauthenticated API endpoint incorrectly exposes full revision history for deleted content. This allows unauthorized user to retrieve restricted or sensitive information. Users are recommended to upgrade to version 2.0.0, which fixes the issue.

Gravedad CVSS v3.1: ALTA

Última modificación:

06/02/2026

CVE-2026-0873

Fecha de publicación:

04/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** On a Cryptobox platform where administrator segregation based on entities is used, some vulnerabilities in Ercom Cryptobox administration console allows an authenticated entity administrator with knowledge to elevate his account to global administrator.

Gravedad CVSS v4.0: MEDIA

Última modificación:

04/02/2026

CVE-2025-59818

Fecha de publicación:

04/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** This vulnerability allows authenticated attackers to execute arbitrary commands on the underlying system using the file name of an uploaded file.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

04/02/2026

CVE-2026-1622

Fecha de publicación:

04/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Neo4j Enterprise and Community editions versions prior to 2026.01.3 and 5.26.21 are vulnerable to a potential information disclosure by a user who has ability to access the local log files. The "obfuscate_literals" option in the query logs does not redact error information, exposing unredacted data in the query log when a customer writes a query that fails. It can allow a user with legitimate access to the local log files to obtain information they are not authorised to see. If this user is also in a position to run queries and trigger errors, this vulnerability can potentially help them to infer information they are not authorised to see through their intended database access. We recommend upgrading to versions 2026.01.3 (or 5.26.21) where the issue is fixed, and reviewing query log files permissions to ensure restricted access. If your configuration had db.logs.query.obfuscate_literals enabled, and you wish the obfuscation to cover the error messages as well, you need to enable the new configuration setting db.logs.query.obfuscate_errors once you have upgraded Neo4j.

Gravedad CVSS v4.0: MEDIA

Última modificación:

04/02/2026

CVE-2025-41085

Fecha de publicación:

04/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** Stored Cross-Site Scripting (XSS) vulnerability type in Apidog in the version 2.7.15, where SVG image uploads are not properly sanitized. This allows attackers to embed malicious scripts in SVG files by sending a POST request to &#39;/api/v1/user-avatar&#39;, which are then stored on the server and executed in the context of any user accessing the compromised resource.

Gravedad CVSS v4.0: MEDIA

Última modificación:

04/02/2026

CVE-2026-0679

Fecha de publicación:

04/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Fortis for WooCommerce plugin for WordPress is vulnerable to authorization bypass due to an inverted nonce check in the &#39;check_fortis_notify_response&#39; function in all versions up to, and including, 1.2.0. This makes it possible for unauthenticated attackers to update arbitrary WooCommerce order statuses to paid/processing/completed, effectively allowing them to mark orders as paid without payment.

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/02/2026

CVE-2026-0681

Fecha de publicación:

04/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Extended Random Number Generator plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin settings in all versions up to, and including, 1.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level access, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/02/2026

CVE-2026-0742

Fecha de publicación:

04/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Smart Appointment & Booking plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the saab_save_form_data AJAX action in all versions up to, and including, 1.0.7 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with Subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/02/2026

CVE-2026-0743

Fecha de publicación:

04/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** The WP Content Permission plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the &#39;ohmem-message&#39; parameter in all versions up to, and including, 1.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Administrator-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/02/2026

CVE-2026-0816

Fecha de publicación:

04/02/2026

Idioma:

Inglés

*** Pendiente de traducción *** The All push notification for WP plugin for WordPress is vulnerable to time-based SQL Injection via the &#39;delete_id&#39; parameter in all versions up to, and including, 1.5.3 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with administrator-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/02/2026

Suscribirse a Vulnerabilidades