Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-8380

Fecha de publicación:

26/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Frontend File Manager Plugin WordPress plugin through 23.6 does not properly verify ownership of every targeted post before permanent deletion, allowing authenticated users with author-level access and above to permanently delete arbitrary posts and pages. When the Frontend File Manager Plugin WordPress plugin through 23.6&#39;s "Allow guest uploads" setting is enabled by an administrator, the same deletion primitive becomes reachable by unauthenticated users.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/06/2026

CVE-2026-10823

Fecha de publicación:

26/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** The YMC Filter WordPress plugin before 3.11.3 does not properly authorize access to one of its REST API endpoints and does not validate a user-supplied query parameter, allowing unauthenticated attackers to retrieve the titles and content of private, draft, and other non-public posts.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/06/2026

CVE-2026-10835

Fecha de publicación:

26/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** The SALESmanago & Leadoo WordPress plugin before 3.11.3 does not properly sanitise and escape a parameter passed to one of its AJAX actions before using it in a SQL statement, and fails to enforce authorisation on that action, allowing authenticated users with minimal permissions, such as subscribers, to perform SQL injection attacks.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/06/2026

CVE-2025-10268

Fecha de publicación:

26/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Printcart Web to Print Product Designer for WooCommerce WordPress plugin through 2.4.8 is vulnerable to path traversal which makes it possible for the attacker to retrieve the directory listing for arbitrary directories on the server.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/06/2026

CVE-2026-8797

Fecha de publicación:

26/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** An access control deficiency vulnerability exists in ExpressUpdate Agent for Windows. If a malicious user gains access to the product, arbitrary code could be executed with SYSTEM privileges.

Gravedad CVSS v4.0: ALTA

Última modificación:

26/06/2026

CVE-2026-8661

Fecha de publicación:

26/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Server-Side Request Forgery in the markdown_to_pdf action of Rapid7 InsightConnect Markdown Plugin on Linux in versions prior to 4.0.2 allows remote attackers to make arbitrary outbound HTTP requests via unsanitized resource-loading HTML elements (img/src, CSS url(), @import) embedded in Markdown input. The initial fix in 4.0.0 disabled JavaScript but did not neutralize resource-loading vectors. Resolved in 4.0.2 by sanitizing HTML with an allowlist of tags, attributes, and URL schemes.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/07/2026

CVE-2026-50740

Fecha de publicación:

26/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** A missing sanitisation vulnerability of user input in the zone-include.php script exists in Revive Adserver 6.0.7 and earlier. A low‑privileged user could exploit the refresh parameter of the iFrame invocation tag to perform reflected XSS attacks.

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/07/2026

CVE-2026-50739

Fecha de publicación:

26/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** A bypass for CVE‑2026‑34913 exists with proper ownership validation that had not been applied to the reverse operation of linking campaigns and trackers through the `tracker-campaigns.php` script in Revive Adserver 6.0.7 and earlier. As a result, a low‑privileged user could link their trackers to campaigns owned by other managers on the same instance, leading to inconsistent ownership relationships.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/06/2026

CVE-2026-50745

Fecha de publicación:

26/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** A missing sanitisation vulnerability exists with user input in the stats-video.php script. The way URLs to this script were constructed did not follow best practices, and the output of the Smarty custom helper function url was neither properly encoded nor sanitised, allowing user‑supplied input to be reflected without escaping.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/06/2026

CVE-2026-50744

Fecha de publicación:

26/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** A bypass to the admin‑only restriction of the XML‑RPC API in Revive Adserver 6.0.7. The API response for the ox.login method returned a session ID cookie in the HTTP headers, and although the method correctly returned an error, the associated session was not invalidated. As a result, the leaked session ID could be used to perform subsequent API calls without restrictions.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/06/2026

CVE-2026-50742

Fecha de publicación:

26/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** A stored XSS vulnerabilities exists in the `maintenance-acl-check.php` and `maintenance-banners-check.php` tools of Revive Adserver 6.0.7. The issue was caused by entity names being displayed without proper escaping when inconsistencies were detected. Whether the XSS payload is executed when an administrator uses the affected maintenance tools is not entirely under the attacker&#39;s control.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/06/2026

CVE-2026-50741

Fecha de publicación:

26/06/2026

Idioma:

Inglés

*** Pendiente de traducción *** Bypass to the fix for CVE-2026-34916. Variants of such vectors have been also reported by phucrio and offsetmd. The fix can be bypassed either by sending a disallowed but otherwise valid plugin identifier as `type`, or using the `ox.setChannelTargeting` XML-RPC API method.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/06/2026

Suscribirse a Vulnerabilidades