Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-96872

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper handling of insufficient permissions or privileges vulnerability in The Wikimedia Foundation Mediawiki - WikiLambda Extension on Linux, MacOS, and Windows allows Accessing Functionality Not Properly Constrained by ACLs.<br /> <br /> This issue affects Mediawiki - WikiLambda Extension: before 1.47.0.
Gravedad CVSS v4.0: BAJA
Última modificación:
24/09/2026

CVE-2026-96770

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** All published s2s-proxy versions through 0.2.2 are affected. In versions 0.1.16 through 0.2.2, TLS server listeners use Go&amp;#39;s RequireAnyClientCert mode when skipCAVerification is false. This mode checks that the client holds the certificate&amp;#39;s private key but does not verify the certificate against the configured CA. An attacker can therefore use a self-signed certificate and key to establish a TLS and yamux connection, then invoke RPCs allowed by the proxy&amp;#39;s configuration and Temporal credentials. No certificate or private key trusted by the deployment, and no Temporal credential, is required.
Gravedad CVSS v4.0: CRÍTICA
Última modificación:
24/09/2026

CVE-2026-96541

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A denial-of-service flaw was found in gnome-remote-desktop. An unauthenticated remote attacker can open RDP connections without completing the handshake and retain the connection-throttling slots indefinitely because no pre-authentication handshake deadline is enforced. By exhausting the global connection limit, an attacker can prevent new RDP clients from connecting until a holding socket is closed.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/09/2026

CVE-2026-96545

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** An out-of-bounds heap read flaw was found in GIMP&amp;#39;s TIM image loader. When a user opens a crafted 4bpp TIM image that causes promotion to an RGBA layer, the file-tim plug-in allocates an undersized row buffer but processes it using the larger RGBA row size. This can copy adjacent heap contents into the decoded image and may crash the plug-in.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/09/2026

CVE-2026-96546

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A one-byte out-of-bounds heap read flaw was found in GIMP&amp;#39;s uncompressed DDS image loader. When a user opens an uncompressed DDS image, the file-dds plug-in performs an unconditional one-byte look-ahead after processing the final pixel. This may cause the plug-in to crash if the byte immediately following the pixel buffer is inaccessible; no information disclosure or code execution has been demonstrated.
Gravedad CVSS v3.1: BAJA
Última modificación:
25/09/2026

CVE-2026-96549

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability has been found in sfturing hosp_order up to 627f426331da8086ce8fff2017d65b1ddef384f8. This vulnerability affects unknown code of the file ssm_pro/src/main/java/cn/sfturing/service/impl/CommonUserServiceImpl.java. Such manipulation leads to cleartext storage of sensitive information. The attack can only be performed from a local environment. The exploit has been disclosed to the public and may be used. This product takes the approach of rolling releases to provide continious delivery. Therefore, version details for affected and updated releases are not available. The project was informed of the problem early through an issue report but has not responded yet.
Gravedad CVSS v4.0: BAJA
Última modificación:
23/09/2026

CVE-2026-96548

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw has been found in sfturing hosp_order up to 627f426331da8086ce8fff2017d65b1ddef384f8. This affects an unknown part of the file ssm_pro/src/main/resources/jdbc.properties. This manipulation causes hard-coded credentials. It is possible to initiate the attack remotely. The attack&amp;#39;s complexity is rated as high. It is indicated that the exploitability is difficult. The exploit has been published and may be used. This product is using a rolling release to provide continious delivery. Therefore, no version details for affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.
Gravedad CVSS v4.0: BAJA
Última modificación:
23/09/2026

CVE-2026-95600

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Unauthenticated Sensitive Data Exposure in TrustedLogin Connector
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-95603

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Shop manager PHP Object Injection in Reycob Product Import Export
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026

CVE-2026-95601

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Unauthenticated SQL Injection in Product Filter by WBW
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
23/09/2026

CVE-2026-95602

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Authorization Bypass Through User-Controlled Key vulnerability in YITH YITH WooCommerce Request A Quote allows Exploiting Incorrectly Configured Access Control Security Levels.<br /> <br /> This issue affects YITH WooCommerce Request A Quote: from n/a before 4.46.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-95604

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Unauthenticated Broken Access Control in Loops &amp; Logic
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026