Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-93772

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Subscriber Cross Site Scripting (XSS) in wpForo Forum
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-93774

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Unauthenticated Cross Site Scripting (XSS) in WP Photo Album Plus
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026

CVE-2026-93622

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Unauthenticated Cross Site Scripting (XSS) in WPS Limit Login
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026

CVE-2026-93623

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Unauthenticated Insecure Direct Object References (IDOR) in AI Engine
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-93773

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Contributor SQL Injection in Mollie Forms
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026

CVE-2026-93513

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Contributor Insecure Direct Object References (IDOR) in SiteSkite
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-93526

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Unauthenticated Cross Site Scripting (XSS) in Event Tickets
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026

CVE-2026-93529

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Contributor Broken Access Control in WSP MCP – AI Agents Connector
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-93527

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Contributor SQL Injection in Live Copy Paste for Elementor
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026

CVE-2026-93618

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper Neutralization of Input During Web Page Generation (&amp;#39;Cross-site Scripting&amp;#39;) vulnerability in Crocoblock. Jetimpex Inc. JetTricks allows Stored XSS.<br /> <br /> This issue affects JetTricks: from n/a through 2.0.1.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-93421

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Mesop is a Python-based UI framework that allows users to build web applications. Prior to 1.3.4, the unauthenticated /__csp__ endpoint passes attacker-controlled document-uri, blocked-uri, and violated-directive values to the csp_report handler in mesop/server/static_file_serving.py, which prints them to standard output without neutralizing terminal control sequences. When an operator views the resulting logs in an ANSI-capable terminal, injected ANSI or VT100 sequences can clear or reposition the display, hide text, or present forged messages, reducing the integrity of monitoring and incident-response output. This issue is fixed in version 1.3.4.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/09/2026

CVE-2026-92692

Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Sulu is an open-source PHP content management system based on the Symfony framework. Prior to 2.6.25 and 3.0.8, the affected Sulu 2.6 and 3.0 release lines have a Smart Content QueryBuilder in src/Sulu/Component/Content/SmartContent/QueryBuilder.php that concatenates category identifiers from the public categories query parameter into a JCR-SQL2 WHERE clause without numeric validation. On a public page containing a category-filtered Smart Content block, an unauthenticated attacker can alter query conditions to infer or enumerate content-repository nodes, including unpublished content, or submit malformed and expensive query fragments that degrade availability; this path does not modify repository data. This issue is fixed in versions 2.6.25 and 3.0.8.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/09/2026