Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-92730
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** LimeSurvey Community Edition 7.0.14 contains a reflected cross-site scripting vulnerability on the administrative survey-participant CSV import result page.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/09/2026

CVE-2026-92700
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Caddy is an extensible server platform that uses TLS by default. In version 2.11.3 and earlier, in modules/caddyhttp/fileserver/staticfiles.go, fileHidden() uses case-sensitive filepath.Match checks, so case variants can bypass hide rules on case-insensitive filesystems or when mixed-case paths coexist and expose files intended to be hidden.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/09/2026

CVE-2026-90901
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Joomla Extension - joomshaper.com - Authenticated, Privileged SQL Injection in Media Image Deletion in Easy Store extension 1.0.0-3.0.0 - The media deletion endpoint (administrator/index.php?option=com_easystore&task=media.deleteImage) parsed the ids parameter as a comma-separated string and imploded it directly into raw SQL IN (...) clauses in Media.php and MediaModel.php without integer casting or parameterization. An authenticated administrator or attacker with access to an admin session could inject arbitrary SQL statements.
Gravedad CVSS v4.0: ALTA
Última modificación:
25/09/2026

CVE-2026-90902
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Joomla Extension - joomshaper.com - Authenticated, Privileged SQL Injection in Coupon Bulk Update in Easy Store extension 1.0.0-3.0.0 - The coupon bulk update task (administrator/index.php?option=com_easystore&task=coupon.couponBulkUpdate) took input IDs and directly concatenated them into raw SQL IN (...) clauses in ProductCoupon.php and CouponsModel.php without sanitization or parameterization. An authenticated administrator could manipulate the query through injected SQL syntax. Resolved by strictly casting all IDs to integers (array_map('intval', ...)) and adopting parameterized ->whereIn() query construction.
Gravedad CVSS v4.0: ALTA
Última modificación:
25/09/2026

CVE-2026-90900
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Joomla Extension - joomshaper.com - Missing CSRF Token Verification in Storefront Product Review Submission in Easy Store extension 1.0.0-3.0.0 - The product review submission endpoint (index.php?option=com_easystore&task=product.addReview) accepted submissions without verifying an anti-CSRF token (the check had been commented out in code). An attacker could trick a logged-in user into posting unauthorized reviews or submitting review spam via cross-site requests. Resolved by enforcing Session::checkToken('request') / Session::checkToken('post') in ProductController, injecting HTMLHelper::_('form.token') into the review form template, and appending the session token to the submission payload in review-form.js.
Gravedad CVSS v4.0: MEDIA
Última modificación:
23/09/2026

CVE-2026-90903
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Joomla Extension - joomshaper.com - Missing CSRF Token Verification across Administrator AJAX API Endpoints in Easy Store extension 1.0.0-3.0.0 - The administrator ApiController only validated CSRF tokens inside the products() action. All other administrative AJAX endpoints (orders, coupons, media, customers, settings, tags, categories, reviews, and collections) accepted state-changing requests without checking anti-CSRF tokens. An attacker could trick a logged-in administrator into triggering unauthorized state modifications across the store backend. Resolved by implementing global CSRF verification in ApiController::execute() for all state-changing HTTP methods (POST, PUT, PATCH, DELETE) via Session::checkToken().
Gravedad CVSS v4.0: ALTA
Última modificación:
23/09/2026

CVE-2026-90904
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Joomla Extension - joomshaper.com - Broken Access Control (ACL Bypass) in ApiController Record Editing in Easy Store extension 1.0.0-3.0.0 - The allowEdit() method in ApiController.php hardcoded return true;, bypassing Joomla component-level and asset-level ACL permission checks. Any authenticated backend user could edit any EasyStore record, regardless of specific ACL permission grants. Resolved by replacing the hardcoded boolean with proper ACL authorization checks via AccessControl::create()->canEdit()`.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/09/2026

CVE-2026-90905
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Joomla Extension - joomshaper.com - Missing CSRF and Access Control on Site Configuration Update in Easy Store extension 1.0.0-3.0.0 - The endpoint administrator/index.php?option=com_easystore&task=appconfig.updateConfiguration updated core Joomla mail configuration (fromname, mailfrom) in configuration.php without verifying anti-CSRF tokens or checking for administrative permissions (canAdmin). A malicious site could silently modify the site's sender name and email address via forged requests from an admin's browser. Resolved by enforcing Session::checkToken('request') / Session::checkToken('post') and adding explicit administrative authorization verification via AccessControl::create()->canAdmin().
Gravedad CVSS v4.0: ALTA
Última modificación:
23/09/2026

CVE-2026-92284
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Caddy is an extensible server platform that uses TLS by default. In version 2.11.3 and earlier, in modules/caddyhttp/replacer.go, resolving http.request.body reads the complete request body with an unbounded io.Copy before request-body middleware limits apply, allowing memory exhaustion and process termination.
Gravedad CVSS v4.0: MEDIA
Última modificación:
30/09/2026

CVE-2026-90899
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Joomla Extension - joomshaper.com - Unauthenticated PII Exposure via IDOR in Guest Checkout in Easy Store extension 1.0.0-3.0.0 - The checkout.searchGuestUser endpoint allowed querying guest checkout records solely by supplying an email address. The server returned complete shipping details (full name, phone number, street address, city, postal code, and country) directly from the #__easystore_guests table with no authentication, session validation, or ownership checks. An unauthenticated attacker could iterate through email lists to enumerate guest customers and harvest sensitive Personally Identifiable Information (PII). Resolved by removing the unauthenticated server-side guest lookup endpoint entirely and migrating autofill functionality to client-side localStorage protected by explicit user consent.
Gravedad CVSS v4.0: ALTA
Última modificación:
23/09/2026

CVE-2026-84486
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in Red Hat Ansible Automation Platform&amp;#39;s automation-<br /> controller. Four debug views that trigger the internal task, dependency, and<br /> workflow schedulers are configured to allow any user (including unauthenticated<br /> clients) and are routed in production builds because their URL include is not<br /> gated on the debug setting. An unauthenticated remote attacker can repeatedly<br /> invoke these endpoints to acquire the cluster-wide scheduler advisory lock;<br /> because the legitimate scheduler acquires the same lock without waiting, the<br /> attacker causes real scheduler runs to be skipped, stalling job dispatch for<br /> all tenants, while also consuming controller web workers. The debug root view<br /> additionally discloses the list of debug endpoints to unauthenticated callers.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/09/2026

CVE-2026-84502
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** A flaw was found in Red Hat Ansible Automation Platform&amp;#39;s automation-<br /> controller. The Project scm_url field is not validated against values that<br /> begin with a dash and is stored and passed verbatim to the git SCM module.<br /> Because the module runs git ls-remote with the URL as a positional argument and<br /> without a "--" separator, a git project URL such as "--upload-pack=:x"<br /> is interpreted by git as the --upload-pack option and executed via a shell. A<br /> user with permission to create or modify a project in a single organization can<br /> thereby execute arbitrary commands on the control-plane task pod, with output<br /> reflected through the project update stdout endpoint, leading to cross-tenant<br /> compromise and in-cluster lateral movement
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/09/2026
Suscribirse a Vulnerabilidades