Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en PHPGurukul Online Course (CVE-2026-0547)

Fecha de publicación:
02/01/2026
Idioma:
Español
Una vulnerabilidad fue encontrada en PHPGurukul Online Course Registration hasta la versión 3.1. Este problema afecta a algún procesamiento desconocido del archivo /admin/edit-student-profile.php del componente Página de Registro de Estudiantes. La manipulación del argumento photo resulta en carga sin restricciones. El ataque puede ser lanzado remotamente. El exploit ha sido hecho público y podría ser usado.
Gravedad CVSS v4.0: BAJA
Última modificación:
29/04/2026

CVE-2026-0546

Fecha de publicación:
02/01/2026
Idioma:
Inglés
*** Pendiente de traducción *** A vulnerability was determined in code-projects Content Management System 1.0. This impacts an unknown function of the file search.php. This manipulation of the argument Value causes sql injection. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized.
Gravedad CVSS v4.0: MEDIA
Última modificación:
29/04/2026

Vulnerabilidad en LigeroSmart Environment Variable cross site scripting (CVE-2025-15437)

Fecha de publicación:
02/01/2026
Idioma:
Español
Una vulnerabilidad fue encontrada en LigeroSmart hasta 6.1.24. Esto afecta una parte desconocida del componente Environment Variable Handler. Realizar la manipulación del argumento REQUEST_URI resulta en cross site scripting. El ataque puede ser iniciado remotamente. El exploit ha sido hecho público y podría ser usado. Actualizar a la versión 6.1.26 y 6.3 es capaz de mitigar este problema. El parche se llama 264ac5b2be5b3c673ebd8cb862e673f5d300d9a7. El componente afectado debería ser actualizado.
Gravedad CVSS v4.0: BAJA
Última modificación:
25/07/2026

Vulnerabilidad en KSOA de Yonyou (CVE-2025-15435)

Fecha de publicación:
02/01/2026
Idioma:
Español
Se ha encontrado una falla en Yonyou KSOA 9.0. Afectada por esta vulnerabilidad es una funcionalidad desconocida del archivo /worksheet/work_update.jsp. Esta manipulación del argumento Report causa inyección SQL. El ataque puede iniciarse de forma remota. El exploit ha sido publicado y puede ser utilizado. El proveedor fue contactado con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/10/2026

Vulnerabilidad en KSOA de Yonyou (CVE-2025-15436)

Fecha de publicación:
02/01/2026
Idioma:
Español
Una vulnerabilidad ha sido encontrada en Yonyou KSOA 9.0. Afectada por este problema es alguna funcionalidad desconocida del archivo /worksheet/work_edit.jsp. Tal manipulación del argumento Report lleva a inyección SQL. El ataque puede ser lanzado remotamente. El exploit ha sido divulgado al público y puede ser usado. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/10/2026

Vulnerabilidad en KSOA de Yonyou (CVE-2025-15434)

Fecha de publicación:
02/01/2026
Idioma:
Español
Una vulnerabilidad fue detectada en Yonyou KSOA 9.0. Afectada es una función desconocida del archivo /kp/PrintZPYG.jsp. La manipulación del argumento zpjhid resulta en inyección SQL. Es posible lanzar el ataque remotamente. El exploit ahora es público y puede ser usado. El proveedor fue contactado tempranamente sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/10/2026

Vulnerabilidad en carRental de yeqifu (CVE-2025-15432)

Fecha de publicación:
02/01/2026
Idioma:
Español
Se ha encontrado una vulnerabilidad en yeqifu carRental hasta 3fabb7eae93d209426638863980301d6f99866b3. Esta vulnerabilidad afecta a la función downloadShowFile del archivo /file/downloadShowFile.action del componente com.yeqifu.sys.controller.FileController. La manipulación del argumento path conduce a un salto de ruta. El ataque puede ser iniciado de forma remota. El exploit ha sido divulgado al público y puede ser utilizado. Este producto utiliza un modelo de lanzamiento continuo para ofrecer actualizaciones continuas. Como resultado, la información de versión específica para las versiones afectadas o actualizadas no está disponible. El proyecto fue informado del problema con antelación a través de un informe de incidencias, pero aún no ha respondido.
Gravedad CVSS v4.0: MEDIA
Última modificación:
07/10/2026

Vulnerabilidad en ?? 512W de UTT (CVE-2025-15431)

Fecha de publicación:
02/01/2026
Idioma:
Español
Se ha encontrado una vulnerabilidad en UTT ?? 512W 1.7.7-171114. Esto afecta a la función strcpy del archivo /goform/formFtpServerDirConfig. La manipulación del argumento filename puede conducir a un desbordamiento de búfer. El ataque puede lanzarse de forma remota. El exploit ha sido publicado y puede ser utilizado. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Gravedad CVSS v4.0: ALTA
Última modificación:
07/10/2026

Vulnerabilidad en WPBookit (CVE-2025-12685)

Fecha de publicación:
02/01/2026
Idioma:
Español
El plugin de WordPress WPBookit hasta la versión 1.0.7 carece de una verificación CSRF al eliminar clientes. Esto podría permitir a un atacante no autenticado eliminar cualquier cliente mediante un ataque CSRF.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en Logo Slider de Unknown (CVE-2025-13153)

Fecha de publicación:
02/01/2026
Idioma:
Español
El plugin de WordPress Logo Slider anterior a la versión 4.9.0 no valida ni escapa algunas de sus opciones de slider antes de mostrarlas de nuevo en el panel de control, lo que podría permitir a usuarios con el rol de colaborador y superiores realizar ataques de cross-site scripting almacenado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en ShopBuilder (CVE-2025-13456)

Fecha de publicación:
02/01/2026
Idioma:
Español
El plugin de WordPress ShopBuilder anterior a la versión 3.2.2 no sanitiza ni escapa un parámetro antes de devolverlo en la página, lo que lleva a un cross-site scripting reflejado que podría ser utilizado contra usuarios con altos privilegios, como el administrador.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/04/2026

Vulnerabilidad en Ninja Forms de Unknown (CVE-2025-14072)

Fecha de publicación:
02/01/2026
Idioma:
Español
El plugin de WordPress Ninja Forms anterior a la versión 3.13.3 permite a atacantes no autenticados generar tokens de acceso válidos a través de la API REST, que luego pueden ser utilizados para leer envíos de formularios.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/01/2026