Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-89294

Fecha de publicación:

30/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Simply Schedule Appointments plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 1.6.12.27 via the &#39;ssa_locale&#39; parameter parameter. This makes it possible for authenticated attackers, with subscriber-level access and above, to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included. Notably, exploitation does not require authentication in practice, as the locale filter is installed unconditionally on every request during plugins_loaded and the callback performs no nonce or capability check before returning the raw GET parameter value.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/09/2026

CVE-2026-97316

Fecha de publicación:

30/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Broken Link Notifier WordPress plugin before 2.0.0.1 does not re-validate the destination of redirects when checking links, allowing unauthenticated attackers to bypass its internal-address filter and make the server send requests to internal services.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/09/2026

CVE-2026-93580

Fecha de publicación:

30/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** The InPost PL WordPress plugin before 1.9.8 does not verify the authenticity of incoming shipment webhook requests, relying only on a non-secret identifier and an IP check that is not enforced, allowing unauthenticated attackers who know a target order&#39;s parcel tracking number to forge its shipment status and prematurely mark the order completed.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/09/2026

CVE-2026-94274

Fecha de publicación:

30/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** The YayReviews WordPress plugin before 1.4.1 does not restrict access to an API route that returns individual customer review records, including reviews still pending moderation, allowing unauthenticated attackers to harvest reviewers&#39; email addresses and other non-public review content.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/09/2026

CVE-2026-94297

Fecha de publicación:

30/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Media Library Organizer WordPress plugin before 2.1.4 does not verify that the requesting user holds the target taxonomy&#39;s management capability before creating a new term, allowing users with contributor-level access and above to create publicly visible terms in any taxonomy registered on the site.

Gravedad CVSS v3.1: BAJA

Última modificación:

30/09/2026

CVE-2026-96886

Fecha de publicación:

30/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Course Booking System WordPress plugin before 7.0.9 does not restrict access to its booking export, allowing unauthenticated users to download the name, email address and billing address of every customer who has booked a course.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/09/2026

CVE-2026-91051

Fecha de publicación:

30/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** The EWWW Image Optimizer WordPress plugin before 8.8.0 does not prevent authenticated users with author-level permissions from storing a serialized value in a post meta field that is deserialized when the post is rendered, allowing them to perform PHP Object Injection, which can lead to remote code execution when a suitable gadget chain is present via another installed EWWW Image Optimizer WordPress plugin before 8.8.0 or .

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/09/2026

CVE-2026-91072

Fecha de publicación:

30/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** The EWWW Image Optimizer WordPress plugin before 8.8.0 does not confine a WebP-derivative file migration routine to the current site&#39;s own uploads directory, letting an attacker with Administrator-level access rename or delete existing WebP-derivative image files outside that scope, including, on a multisite network, files belonging to a different site they have no access to.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/09/2026

CVE-2026-91832

Fecha de publicación:

30/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** The WP Mobile Menu WordPress plugin before 2.9 does not correctly verify the nonce on its settings import, so an attacker can import arbitrary WP Mobile Menu WordPress plugin before 2.9 settings through a cross-site request in an administrator&#39;s session, and the imported values are then output unescaped to every visitor, resulting in Stored Cross-Site Scripting.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/09/2026

CVE-2026-92424

Fecha de publicación:

30/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Content Egg WordPress plugin before 11.9.0 does not verify that a user running its bulk content-import feature is authorized for the import preset they select, and switches to the preset author&#39;s identity before creating the resulting post, allowing users with contributor-level access and above to store arbitrary web scripts unfiltered under a privileged user&#39;s account, executing in the context of anyone who later views that content.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/09/2026

CVE-2026-92994

Fecha de publicación:

30/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Verge3D Publishing and E-Commerce WordPress plugin before 4.13.1 does not validate the contents of files uploaded through its file storage feature and serves them back with an attacker-controlled content type, allowing unauthenticated attackers to store a file containing malicious JavaScript that executes in the browser of any user who opens it.

Gravedad CVSS v3.1: ALTA

Última modificación:

30/09/2026

CVE-2026-89190

Fecha de publicación:

30/09/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Robin Image Optimizer WordPress plugin before 2.0.8 does not check the user&#39;s capabilities before dispatching one of its bundled admin framework&#39;s request handlers, allowing users with a subscriber-level account to render admin-only Robin Image Optimizer WordPress plugin before 2.0.8 pages and disclose the Robin Image Optimizer WordPress plugin before 2.0.8&#39;s stored settings.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/09/2026

Suscribirse a Vulnerabilidades