Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-2445

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The affected product accepts user-supplied input within a URL parameter without enforcing expected sanitization or encoding before rendering it within the response. This condition allows for the injection of malicious JavaScript payloads. An attacker can leverage this vulnerability to cause the user&#39;s browser to redirect to a malicious website, modify the user interface of the webpage, or retrieve sensitive information from the browser. However, the impact is mitigated for session hijacking as all session-related sensitive cookies are protected by the httpOnly flag.

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/07/2026

CVE-2026-16242

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in the Konnectivity proxy-server configuration for hosted control planes. The agent-facing listener was started without --cluster-ca-cert (and without token-based agent authentication), so client certificates were not validated. A remote attacker who can reach the Konnectivity cluster endpoint could connect as an unauthenticated agent, join the routing pool, and potentially proxy, inspect, modify, or drop control-plane-to-node traffic.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

02/08/2026

CVE-2026-13577

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Dancer2 versions through 2.1.0 for Perl generate insecure session ids when required CSPRNG modules are unavailable. Dancer2::Core::Role::SessionFactory::generate_id silently falls back to a built-in rand-derived session id unless both Math::Random::ISAAC::XS and Crypt::URandom are available. The fallback session id is generated from a SHA-1 hash of a call to the built-in rand function, the absolute path of the Dancer2::Core::Role::SessionFactory module, an internal counter, the process id, the module instance memory address, and a shuffled string of characters (using the List::Util::shuffle function, which also uses the built-in rand function). These are all low-entropy and easily guessed sources. The built-in rand() function is seeded with 32-bits and considered unsuitable for security applications. Predictable session ids could allow an attacker to gain access to systems.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/07/2026

CVE-2026-6656

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Crypt::Password versions through 0.28 for Perl are susceptible to timing attacks. The check_password method uses the built-in eq operator. This allows discrepancies in timing to be used to guess the underlying hash.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/07/2026

CVE-2026-8825

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Elementor Website Builder WordPress plugin before 4.1.4 does not properly check user permissions before returning post data through one of its REST endpoints, allowing authenticated users with Contributor-level access and above to retrieve the title, body and metadata of private posts, private pages and drafts authored by other users (including administrators).

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/07/2026

CVE-2026-9833

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Tag Groups is the Advanced Way to Display Your Taxonomy Terms WordPress plugin before 2.2.0 does not properly escape one of its AJAX parameters before reflecting it in the response body served with an HTML content type, allowing unauthenticated attackers to execute arbitrary JavaScript in the browser of a logged-in user with `edit_pages` capability (Editor or higher) who is tricked into following a crafted link.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/07/2026

CVE-2026-16235

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** Crypt::Password versions through 0.28 for Perl generate insecure random values for salts. These versions use the built-in rand function, which is predictable and unsuitable for cryptography.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

20/07/2026

CVE-2026-12898

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The All-in-One WP Migration and Backup WordPress plugin before 7.106 does not properly sanitise a user-supplied value before using it to build a file path, allowing unauthenticated attackers to create or append a log file in arbitrary locations outside its intended storage directory.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/07/2026

CVE-2026-12970

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The LearnPress WordPress plugin before 4.4.1 does not escape a search parameter before reflecting it into an HTML attribute, leading to Reflected Cross-Site Scripting that executes in the browser of a logged-in instructor or administrator who is tricked into opening a crafted link.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/07/2026

CVE-2026-13147

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Kirki WordPress plugin before 6.0.12 does not validate a user-supplied URL before requesting it server-side, allowing unauthenticated attackers to make the site issue HTTP requests to arbitrary hosts (Server-Side Request Forgery).

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

20/07/2026

CVE-2026-13156

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The MailerSend WordPress plugin before 1.0.8 does not perform a nonce check on its configuration-delete action (it verifies the manage_options capability but ignores the nonce), so an attacker can trick a logged-in administrator into visiting a crafted page that wipes the MailerSend WordPress plugin before 1.0.8&#39;s SMTP configuration and deactivates the MailerSend WordPress plugin before 1.0.8, breaking the site&#39;s email delivery.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/07/2026

CVE-2026-13432

Fecha de publicación:

20/07/2026

Idioma:

Inglés

*** Pendiente de traducción *** The ThumbPress WordPress plugin before 6.2.2 does not perform a capability check on one of its AJAX actions, allowing authenticated users with subscriber-level access or higher to deactivate the ThumbPress WordPress plugin before 6.2.2, disrupting the site&#39;s image-handling functionality.

Gravedad CVSS v3.1: MEDIA

Última modificación:

20/07/2026

Suscribirse a Vulnerabilidades