Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-3565

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Taqnix plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 1.0.3. This is due to a missing nonce verification in the taqnix_delete_my_account() function, where the check_ajax_referer() call is explicitly commented out on line 883. This makes it possible for unauthenticated attackers to trick a logged-in non-administrator user into deleting their own account via a forged request granted they can trick the user into performing an action such as clicking a link or visiting a malicious page.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/04/2026

CVE-2026-3569

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Liaison Site Prober plugin for WordPress is vulnerable to Information Exposure in all versions up to and including 1.2.1 via the /wp-json/site-prober/v1/logs REST API endpoint. The permissions_read() permission callback unconditionally returns true (via __return_true()) instead of checking for appropriate capabilities. This makes it possible for unauthenticated attackers to retrieve sensitive audit log data including IP addresses, user IDs, usernames, login/logout events, failed login attempts, and detailed activity descriptions.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/04/2026

CVE-2026-4078

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** The ITERAS plugin for WordPress is vulnerable to Stored Cross-Site Scripting via multiple shortcodes (iteras-ordering, iteras-signup, iteras-paywall-login, iteras-selfservice) in all versions up to and including 1.8.2. This is due to insufficient input sanitization and output escaping in the combine_attributes() function. The function directly concatenates shortcode attribute values into JavaScript code within tags using double-quoted string interpolation (line 489: &#39;"&#39;.$key.&#39;": "&#39;.$value.&#39;"&#39;) without any escaping. An attacker can break out of the JavaScript string context by including a double-quote character in a shortcode attribute value and inject arbitrary JavaScript. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/04/2026

CVE-2025-11762

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** The HubSpot All-In-One Marketing - Forms, Popups, Live Chat plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 11.3.32 via the leadin/public/admin/class-adminconstants.php file. This makes it possible for authenticated attackers, with Contributor-level access and above, to extract a list of all installed plugins and their versions which can be leveraged for reconnaissance and further attacks.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/04/2026

CVE-2026-1951

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Delta Electronics AS320T has no checking of the length of the buffer with the directory name<br /> <br /> vulnerability.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/04/2026

CVE-2026-1952

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Delta Electronics AS320T has denial of service via the undocumented subfunction vulnerability.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/04/2026

CVE-2026-1950

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Delta Electronics AS320T has <br /> No checking of the length of the buffer with the file name vulnerability.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/04/2026

CVE-2026-5364

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Drag and Drop File Upload for Contact Form 7 plugin for WordPress is vulnerable to arbitrary file upload in versions up to, and including, 1.1.3. This is due to the plugin extracting the file extension before sanitization occurs and allowing the file type parameter to be controlled by the attacker rather than being restricted to administrator-configured values, which when combined with the fact that validation occurs on the unsanitized extension while the file is saved with a sanitized extension, allows special characters like &#39;$&#39; to be stripped during the save process. This makes it possible for unauthenticated attackers to upload arbitrary PHP files and potentially achieve remote code execution, however, an .htaccess file and name randomization is in place which restricts real-world exploitability.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/04/2026

CVE-2026-5428

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Royal Elementor Addons plugin for WordPress is vulnerable to Stored Cross-Site Scripting via image captions in the Image Grid/Slider/Carousel widget in versions up to and including 1.7.1056. This is due to insufficient output escaping in the render_post_thumbnail() function, where wp_kses_post() is used instead of esc_attr() for the alt attribute context. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses a page with the malicious image displayed in the media grid widget.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/04/2026

CVE-2026-6810

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Booking Calendar Contact Form plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.2.63 via the dex_bccf_admin_int_calendar_list.inc.php file due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with Subscriber-level access and above, to takeover other user&#39;s calendars and view user data associated with the calendar.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/04/2026

CVE-2026-5347

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** The HM Books Gallery plugin for WordPress is vulnerable to Missing Authorization in versions up to and including 4.8.0. This is due to the absence of capability checks and nonce verification in the admin_init hook that handles the permalink settings update at line 205-209 of wp-books-gallery.php. The vulnerable code checks only for the presence of the &#39;permalink_structure&#39; POST parameter before updating the &#39;wbg_cpt_slug&#39; option, without verifying that the request comes from an authenticated administrator. This makes it possible for unauthenticated attackers to modify the custom post type slug for the books gallery, which changes the URL structure for all book entries and can break existing links and SEO rankings.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/04/2026

CVE-2026-1949

Fecha de publicación:

24/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Delta Electronics AS320T has incorrect calculation of the buffer size on the stack in the GET/PUT request handler of the web service.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/04/2026

Suscribirse a Vulnerabilidades