Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-82331
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** Improper link resolution before file access (&amp;#39;link following&amp;#39;) vulnerability in the `tar` source plugin of Apache BuildStream running on Python = 3.12, BuildStream &gt;= 2.3.0 already makes use of the Python `tarfile` filter functionality, which blocks the symlink escape<br /> <br /> Users are recommended to upgrade to version 2.8.1, which fixes this issue.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
23/09/2026

CVE-2026-5924
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Getwid – Gutenberg Blocks plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Google Maps block&amp;#39;s &amp;#39;customStyle&amp;#39; attribute in all versions up to, and including, 2.1.3. This is due to the use of eval() on user-controlled block content in the frontend JavaScript mapStyles() function. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-6831
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Advanced Contact form 7 DB plugin for WordPress is vulnerable to missing authorization in all versions up to, and including, 2.0.9. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with Contributor-level access and above, to read all Contact Form 7 submission data via the &amp;#39;acf7db&amp;#39; shortcode.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-93510
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Points and Rewards for WooCommerce WordPress plugin before 2.10.4 does not validate the claimed reward amount or restrict who can call its Win Wheel claim handler, allowing authenticated users, Subscriber and above, to credit their own account with an arbitrary and unlimited amount of loyalty points and, where a companion wallet Points and Rewards for WooCommerce WordPress plugin before 2.10.4 is active, wallet balance.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-93511
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Premium Packages WordPress plugin before 7.2.1 does not verify PayPal&amp;#39;s webhook signature before processing payment and subscription notifications, allowing unauthenticated attackers to forge payment confirmations and subscription-cancellation events against any order whose transaction id they know.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-93528
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The NP Quote Request for WooCommerce WordPress plugin before 2.4.16 does not verify order ownership before rendering an order&amp;#39;s details, allowing unauthenticated attackers to view another customer&amp;#39;s order using the order&amp;#39;s key.
Gravedad CVSS v3.1: BAJA
Última modificación:
23/09/2026

CVE-2026-89331
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The FluentBoards WordPress plugin before 2.1.0 does not properly restrict the member data returned by its public, token-shared board feature, allowing unauthenticated users to disclose the email addresses of a shared board&amp;#39;s members, typically including administrators.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-90951
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Paid Membership Subscriptions WordPress plugin before 3.1.0 does not bind one of its unauthenticated payment actions to the requesting user, allowing someone who holds another member&amp;#39;s in-flight payment identifier to delete that member&amp;#39;s checkout state.
Gravedad CVSS v3.1: BAJA
Última modificación:
23/09/2026

CVE-2026-90985
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The WPC Smart Compare for WooCommerce WordPress plugin before 6.6.1 does not apply WordPress&amp;#39;s post-password protection when returning product content through its comparison handler, allowing unauthenticated users to read the description of password-protected products.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-91024
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Booking Manager WordPress plugin before 2.1.21 does not sanitize and escape values taken from a fetched external iCalendar feed before using them in a SQL query, allowing authenticated users with Author-level access and above to perform SQL injection attacks by importing a feed they control.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-91025
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Booking Manager WordPress plugin before 2.1.21 does not verify that a request to modify a user&amp;#39;s Booking Manager WordPress plugin before 2.1.21-specific settings targets the requesting user&amp;#39;s own account, allowing any authenticated user with subscriber-level access and above to create or overwrite the Booking Manager WordPress plugin before 2.1.21&amp;#39;s per-user settings on arbitrary users, including administrators.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-91073
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Subscribe Forms WordPress plugin before 1.6.3 does not sanitise and escape one of its form settings before outputting it in a page, allowing authenticated users with the Author role and above to perform Stored Cross-Site Scripting attacks that execute in the browser of any visitor who views a page embedding the form, including logged-out visitors and administrators.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026
Suscribirse a Vulnerabilidades