Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-102587
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in Moodle. User list filters do not properly enforce visibility restrictions on user profile fields. An authorized user with manager privileges can filter user lists using profile attributes they are not permitted to view directly, resulting in unauthorized information disclosure by inferring hidden user data.
Gravedad CVSS v3.1: BAJA
Última modificación:
01/10/2026

CVE-2026-75098
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Product Designer App plugin for WordPress is vulnerable to Directory Traversal in all versions up to, and including, 1.1.3 via the 'svg' parameter parameter. This makes it possible for unauthenticated attackers to read the contents of arbitrary files on the server, which can contain sensitive information. The endpoint's only authentication gate relies on a nonce and token that are both publicly emitted as JavaScript globals on any page rendering the [pdapp-studio-page] shortcode, making them freely obtainable by anonymous visitors.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/09/2026

CVE-2026-92712
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The ReactPress – Create React App for WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'permalink' parameter in all versions up to, and including, 3.4.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is possible because the permalink parameter is only passed through sanitize_url(), which does not prevent fetching attacker-controlled remote URLs whose response body — including script tags and event-handler attributes — is written verbatim to disk via file_put_contents().
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/09/2026

CVE-2026-93908
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Real Estate Manager – Property Listing and Agent Management plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'before_price_text' parameter in all versions up to, and including, 7.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The vulnerability is further enabled by the absence of any capability, nonce, or ownership check on the wp_ajax_rem_create_pro_ajax handler, and because the value is persisted via update_post_meta rather than post_content, the wp_kses filtering tied to the unfiltered_html capability does not apply.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/09/2026

CVE-2026-97347
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Post Views Stats Counter plugin for WordPress is vulnerable to Stored Cross-Site Scripting via User-Agent Header in all versions up to, and including, 1.1.7 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The plugin's only input filter is a substring blacklist for known bot signatures (e.g. 'bot', 'spider', 'crawler'), which can be trivially bypassed by crafting a User-Agent payload that omits those strings.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/09/2026

CVE-2026-102582
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in Moodle. The manual enrolment management page did not properly check whether the manual enrolment plugin was disabled, allowing users with enrolment permissions to access the page directly by navigating to its URL. Consequently, an authorized user could manage manual enrolments even after an administrator disabled the feature in the user interface.
Gravedad CVSS v3.1: BAJA
Última modificación:
01/10/2026

CVE-2026-102581
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in Moodle. Insufficient output escaping in templates used to display forum posts enables a stored cross-site scripting (XSS) vulnerability. An attacker can inject malicious content into a forum post, which then executes arbitrary script code in the browser of another user viewing the affected post.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/10/2026

CVE-2026-102586
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in Moodle. Insufficient sanitization of username input on the password reset page allows a remote attacker to conduct a cross-site scripting (XSS) attack. By convincing an unauthenticated user to access a specially crafted password reset link, an attacker could execute arbitrary script in the victim's browser.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/10/2026

CVE-2026-102580
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in Moodle. An authenticated attacker can supply an improperly validated audience class name to the Report Builder component, allowing arbitrary class instantiation. This vulnerability enables the unauthorized creation of internal program objects, which may result in unexpected application behavior.
Gravedad CVSS v3.1: BAJA
Última modificación:
01/10/2026

CVE-2026-102585
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in Moodle. When enrolling a user into a course while assigning them to a group, the application does not verify whether the selected group actually belongs to that course. An authenticated user with teacher privileges could exploit this flaw to add users to groups within courses they do not have authorization to access.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/10/2026

CVE-2026-102584
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in Moodle. Due to a missing capability check, a low-privileged authenticated user can trigger the recalculation of grade penalties without holding the required permissions. This issue allows unauthorized users to modify grade penalty records, potentially altering student assessment scores.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/10/2026

CVE-2026-102583
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in Moodle. An incorrect capability check in the artificial intelligence (AI) editor placement's image generation web service allows an authenticated user to invoke the feature without holding the required capability. This flaw permits unauthorized users to access and utilize the AI image generation functionality.
Gravedad CVSS v3.1: BAJA
Última modificación:
01/10/2026
Suscribirse a Vulnerabilidades