Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2026-24917
Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** UAF vulnerability in the security module.<br /> Impact: Successful exploitation of this vulnerability may affect availability.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/02/2026

CVE-2026-1499
Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** The WP Duplicate plugin for WordPress is vulnerable to Missing Authorization leading to Arbitrary File Upload in all versions up to and including 1.1.8. This is due to a missing capability check on the `process_add_site()` AJAX action combined with path traversal in the file upload functionality. This makes it possible for authenticated (subscriber-level) attackers to set the internal `prod_key_random_id` option, which can then be used by an unauthenticated attacker to bypass authentication checks and write arbitrary files to the server via the `handle_upload_single_big_file()` function, ultimately leading to remote code execution.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
06/02/2026

CVE-2026-1252
Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Events Listing Widget plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the &amp;#39;Event URL&amp;#39; parameter in all versions up to, and including, 1.3.4 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/02/2026

CVE-2026-2010
Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability has been found in Sanluan PublicCMS up to 4.0.202506.d/5.202506.d/6.202506.d. Impacted is the function Paid of the file publiccms-parent/publiccms-trade/src/main/java/com/publiccms/logic/service/trade/TradePaymentService.java of the component Trade Payment Handler. The manipulation of the argument paymentId leads to improper authorization. The attack can be initiated remotely. The complexity of an attack is rather high. The exploitability is considered difficult. The exploit has been disclosed to the public and may be used. The identifier of the patch is 7329437e1288540336b1c66c114ed3363adcba02. It is recommended to apply a patch to fix this issue.
Gravedad CVSS v4.0: BAJA
Última modificación:
06/02/2026

CVE-2026-21626
Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** Access control settings for forum post custom fields are not applied to the JSON output type, leading to an ACL violation vector an information disclosure
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
06/02/2026

CVE-2026-2009
Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw has been found in SourceCodester Gas Agency Management System 1.0. This issue affects some unknown processing of the file /gasmark/php_action/createUser.php. Executing a manipulation can lead to improper access controls. It is possible to launch the attack remotely. The exploit has been published and may be used.
Gravedad CVSS v4.0: MEDIA
Última modificación:
06/02/2026

CVE-2026-1279
Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Employee Directory plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the &amp;#39;form_title&amp;#39; parameter in the `search_employee_directory` shortcode in all versions up to, and including, 1.2.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/02/2026

CVE-2026-2000
Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was found in DCN DCME-320 up to 20260121. Impacted is the function apply_config of the file /function/system/basic/bridge_cfg.php of the component Web Management Backend. Performing a manipulation of the argument ip_list results in command injection. The attack is possible to be carried out remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Gravedad CVSS v4.0: MEDIA
Última modificación:
06/02/2026

CVE-2026-2008
Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was detected in abhiphile fermat-mcp up to 47f11def1cd37e45dd060f30cdce346cbdbd6f0a. This vulnerability affects the function eqn_chart of the file fmcp/mpl_mcp/core/eqn_chart.py. Performing a manipulation of the argument equations results in code injection. It is possible to initiate the attack remotely. The exploit is now public and may be used. This product is using a rolling release to provide continious delivery. Therefore, no version details for affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.
Gravedad CVSS v4.0: MEDIA
Última modificación:
06/02/2026

CVE-2026-1888
Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Docus – YouTube Video Playlist plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the &amp;#39;docusplaylist&amp;#39; shortcode in all versions up to, and including, 1.0.6 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/02/2026

CVE-2026-1909
Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** The WaveSurfer-WP plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin&amp;#39;s audio shortcode in all versions up to, and including, 2.8.3 due to insufficient input sanitization and output escaping on the &amp;#39;src&amp;#39; attribute. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/02/2026

CVE-2026-1998
Fecha de publicación:
06/02/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw has been found in micropython up to 1.27.0. This vulnerability affects the function mp_import_all of the file py/runtime.c. This manipulation causes memory corruption. The attack needs to be launched locally. The exploit has been published and may be used. Patch name: 570744d06c5ba9dba59b4c3f432ca4f0abd396b6. It is suggested to install a patch to address this issue.
Gravedad CVSS v4.0: MEDIA
Última modificación:
06/02/2026
Suscribirse a Vulnerabilidades