Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-91077
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Event Booking Manager for WooCommerce WordPress plugin before 5.7.3 does not restrict its event listing query to events the requesting user is permitted to read, so users with contributor-level access and above can retrieve other authors' private, draft and trashed events, together with event detail the standard listing does not show them. This discloses private events and their content that WordPress withholds from users lacking the read_private_posts capability.
Gravedad CVSS v3.1: BAJA
Última modificación:
23/09/2026

CVE-2026-93507
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The WC Fields Factory WordPress plugin before 4.1.11 does not properly restrict access to, or verify a nonce for, a post-cloning action, allowing Contributor-level users and above to duplicate arbitrary posts of any type or status, including other users' private or draft content, and gain read access to the resulting copy.
Gravedad CVSS v3.1: BAJA
Última modificación:
23/09/2026

CVE-2026-93508
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The WC Fields Factory WordPress plugin before 4.1.11 does not properly restrict access to its field-management AJAX action, allowing authenticated users with Subscriber-level access and above to create, modify and delete arbitrary post meta on any post, including WooCommerce products, regardless of ownership, and to manipulate stored pricing rules on a product to reduce its checkout price.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026

CVE-2026-86785
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Social Commerce for WooCommerce WordPress plugin through 2.5.4 does not have authorisation checks on some of its REST API endpoints, allowing unauthenticated users to update Social Commerce for WooCommerce WordPress plugin through 2.5.4 configuration and product synchronisation state.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-87979
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Paymob for WooCommerce WordPress plugin before 4.1.14 does not verify the request signature on the card-token branch of its payment webhook, allowing unauthenticated attackers to write a card-token record to any user's account and to enumerate registered accounts.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-87981
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Paymob for WooCommerce WordPress plugin before 4.1.14 does not perform a capability check on several admin AJAX actions that manage its payment-gateway configuration, allowing users with contributor-level access to delete, wipe, or modify that configuration, including the stored payment credentials.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-88929
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Product Badge, Label, Countdown Timer for WooCommerce WordPress plugin before 7.5.2 does not check whether a product is published before returning its details to unauthenticated users, allowing them to read the title, description and price of draft, pending and private products.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-88997
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The JSM Show Post Metadata WordPress plugin before 4.9.1 does not properly escape a post meta key before outputting it into an inline event-handler attribute in an admin-facing meta box, allowing users with contributor-level access and above to inject arbitrary JavaScript that executes in the session of a higher-privileged user who reviews the affected post.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-86608
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The WP Recipe Maker WordPress plugin before 10.8.2 does not have any authorisation check in one of its REST routes, nor does it bound what that route stores, allowing unauthenticated users to write unlimited data into any user's metadata and to permanently prevent that account, including an administrator's, from loading.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/09/2026

CVE-2026-86783
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Post Grid Gutenberg Blocks WordPress plugin before 5.0.41 does not perform an authorization or post-visibility check on a REST API route that returns the custom field keys of a given post, allowing unauthenticated users to disclose the custom field key names of arbitrary posts, including private, draft, pending, scheduled and password-protected posts.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-86842
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Real3D Flipbook WordPress plugin before 5.4 does not perform capability checks on several of its authenticated flipbook management actions, allowing users with Author-level access and above to delete other users' flipbook content and overwrite administrator-only global settings, which can be leveraged to store JavaScript that executes in the context of any visitor or administrator viewing the site.
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/09/2026

CVE-2026-87069
Fecha de publicación:
23/09/2026
Idioma:
Inglés
*** Pendiente de traducción *** The Forminator Forms WordPress plugin before 1.57.2.1 does not perform a nonce, capability or ownership check before running a one-time payment-field migration during the construction of one of its admin screens, and that construction happens on every wp-admin request for any logged-in user. Any authenticated user, including a Subscriber with no permissions in the Forminator Forms WordPress plugin before 1.57.2.1, can therefore rewrite the saved field configuration of any form on the site, including a live payment form.
Gravedad CVSS v3.1: BAJA
Última modificación:
23/09/2026
Suscribirse a Vulnerabilidades