Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-89193
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Robin Image Optimizer WordPress plugin before 2.0.8 does not escape values that its bundled HTML parser re-emits into element attributes when a non-default image delivery mode is enabled, allowing unauthenticated users to submit content that is stored and later executed as Cross-Site Scripting in the browser of any user viewing an affected page, including administrators.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/09/2026

CVE-2026-90953
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Image Optimizer WordPress plugin before 1.7.7 does not enforce its intended capability check on several of its read REST routes, allowing any authenticated user to read attachment metadata and site-wide statistics that should be restricted to administrators.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/09/2026

CVE-2026-86789
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Connections Business Directory WordPress plugin through 10.4.67 does not apply its visibility and moderation-status restrictions on certain REST API read endpoints, allowing unauthenticated attackers to retrieve directory entries that are marked private or unlisted, or that are still pending moderation, including entry names, organizations, biographies, internal notes and street addresses.<br /> The Connections Business Directory WordPress plugin through 10.4.67 has been closed on WordPress.org and no fixed version is available, so site owners should remove it or restrict unauthenticated access to its REST API routes.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/09/2026

CVE-2026-87777
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Hostinger Reach WordPress plugin before 1.8.3 does not sanitize and escape a widget setting before outputting it in the editor preview, allowing users with contributor-level access and above to inject arbitrary web scripts that will execute in the session of a higher-privileged user who opens the affected content in the editor.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/09/2026

CVE-2026-88791
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Safe Redirect Manager WordPress plugin before 2.3.0 does not properly validate the redirect destination when a wildcard redirect rule to an absolute URL is configured, allowing unauthenticated attackers to redirect visitors to an arbitrary external website via a crafted request path.
Gravedad CVSS v3.1: BAJA
Última modificación:
30/09/2026

CVE-2026-88797
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Vayu X WordPress theme before 1.0.6 does not perform any capability check on one of its AJAX actions and exposes the nonce guarding it to every logged-in user, allowing any authenticated user, such as a subscriber, to install and activate any hosted on the WordPress.org repository.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/09/2026

CVE-2026-85415
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Audio Player Block WordPress plugin before 1.6.3 does not validate the scheme of a user-supplied URL before using it as a link target, allowing users with the Contributor role and above to store malicious JavaScript that executes in the session of any user who later triggers the link (such as an administrator or editor reviewing the post).
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/09/2026

CVE-2026-85573
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The All in One Files Upload WordPress plugin before 2.0.17 adds SVG to the site&amp;#39;s allowed upload types and does not sanitise uploaded files or verify the authenticity of its public upload requests, allowing unauthenticated users to store files containing active content which run in the site&amp;#39;s origin when a victim opens them.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/09/2026

CVE-2026-85576
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The All in One Files Upload WordPress plugin before 2.0.17 does not have any capability check, and does not verify the authenticity of the request, when saving its settings, allowing any authenticated user, such as a subscriber, to change them.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/09/2026

CVE-2026-80333
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Solace Extra WordPress plugin before 1.7.2 does not perform any authorization or post-status checks on its front-end preview routes, allowing unauthenticated visitors to read the rendered content of non-published posts and pages of any type that WordPress would otherwise not serve.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/09/2026

CVE-2026-82127
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Schema &amp; Structured Data for WP &amp; AMP WordPress plugin before 1.67 does not perform a capability check when saving several of its fields, nor escape them when outputting them back, allowing users with the editor role and above to inject arbitrary web scripts that execute when a higher privileged user views the affected screen. This is only exploitable on multisite installs, where editors do not hold the unfiltered_html capability.
Gravedad CVSS v3.1: BAJA
Última modificación:
30/09/2026

CVE-2026-83560
Fecha de publicación:
30/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The New User Approve WordPress plugin before 3.2.10 does not properly verify authentication on a set of integration REST API routes when the integration is unconfigured, allowing unauthenticated attackers to retrieve personal data (id, username, email address and registration date) of registered users.
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/09/2026
Suscribirse a Vulnerabilidades