Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-100256

Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** In JetBrains IntelliJ IDEA before 2026.2.3 rCE via Structural Search script constraints was possible in untrusted projects
Gravedad CVSS v3.1: ALTA
Última modificación:
02/10/2026

CVE-2026-100255

Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** In JetBrains TeamCity before 2026.2, <br /> 2026.1.4, <br /> 2025.11.8 administrator account takeover was possible via password reset
Gravedad CVSS v3.1: ALTA
Última modificación:
02/10/2026

CVE-2026-100253

Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** In JetBrains TeamCity before 2026.2, <br /> 2026.1.4, <br /> 2025.11.8 sandbox escape leading to code execution was possible via the versioned settings Kotlin DSL
Gravedad CVSS v3.1: ALTA
Última modificación:
06/10/2026

CVE-2026-100254

Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** In JetBrains TeamCity before 2026.2, <br /> 2026.1.4, <br /> 2025.11.8 authenticated users could execute commands on Windows servers via CRLF injection in Pipeline Git connection settings
Gravedad CVSS v3.1: ALTA
Última modificación:
06/10/2026

CVE-2026-94545

Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Satori is a library to convert HTML and CSS to SVG. Starting in version 0.0.27 and prior to version 0.33.5, Satori does not properly escape certain values before including them in generated SVG output. This can allow crafted values to be interpreted as SVG markup. The impact depends on how the generated SVG is consumed. Version 0.33.5 contains a patch. No complete workaround exists besides upgrading. Applications that cannot immediately upgrade should not render attacker-controlled content with Satori.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/09/2026

CVE-2026-97259

Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Authorization Bypass Through User-Controlled Key vulnerability in WP Hosting AS Pay with Vipps for WooCommerce allows Exploiting Incorrectly Configured Access Control Security Levels.<br /> <br /> This issue affects Pay with Vipps for WooCommerce: from n/a through 6.2.4.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/09/2026

CVE-2026-76570

Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Joomla Extension - joomcode.com - Unauthenticated SQL injection in read and write queries in JCTables 1.21.1 - The front-end CRUD API controller performs no Joomla token validation and no authentication check on any task. Table names, column names, and values are taken directly from request parameters and concatenated into SQL queries, allowing SQLi for reading and writing queries.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
06/10/2026

CVE-2026-62084

Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper Neutralization of Input During Web Page Generation (&amp;#39;Cross-site Scripting&amp;#39;) vulnerability in Jeff Starr User Submitted Posts allows Stored XSS.<br /> <br /> This issue affects User Submitted Posts: from n/a through 20260810.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/09/2026

CVE-2026-62097

Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper Neutralization of Special Elements used in an SQL Command (&amp;#39;SQL Injection&amp;#39;) vulnerability in WPTasty Business Directory business-directory-plugin allows Blind SQL Injection.This issue affects Business Directory: from n/a through 6.4.27.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/09/2026

CVE-2026-47097

Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** AJA HELO Plus firmware before 2.1.7 contains an information disclosure vulnerability that allows unauthenticated attackers to decrypt sensitive diagnostics bundles by exploiting a static AES passphrase embedded in obfuscated form within the firmware. Attackers can reverse engineer the publicly available firmware image to recover the shared passphrase and decrypt diagnostics export bundles retrieved from the unauthenticated diagnostics endpoint on any affected device, exposing highly sensitive server information.
Gravedad CVSS v4.0: ALTA
Última modificación:
30/09/2026

CVE-2026-18782

Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper neutralization of special elements used in an SQL command (&amp;#39;SQL injection&amp;#39;) vulnerability in Trex Digital Smart Manufacturing Systems Inc. Trex MES allows Command Line Execution through SQL Injection.<br /> <br /> This issue affects Trex MES: through 2026-09-29.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
30/09/2026

CVE-2026-18783

Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Missing authentication for critical function vulnerability in Trex Digital Smart Manufacturing Systems Inc. Trex MES allows Authentication Bypass.<br /> <br /> This issue affects Trex MES: through 2026-09-29.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/09/2026