Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-49196

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Wi-Fi device blocking feature fails to sanitize MAC address input, allowing injection and execution of arbitrary shell commands.

Gravedad CVSS v4.0: ALTA

Última modificación:

08/06/2026

CVE-2026-49197

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Web endpoints intended for the Acer Connect app improperly validate the HTTP Authorization header, failing to block requests when Base64 decoding fails.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

08/06/2026

CVE-2026-10057

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** ITS Intelligent SCADA System developed by ITP Technology has a Stored Cross-Site Scripting vulnerability, allowing privileged remote attackers to inject persistent JavaScript codes that are executed in users&#39; browsers upon page load.

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/05/2026

CVE-2026-10058

Fecha de publicación:

29/05/2026

Idioma:

Inglés

Gravedad CVSS v4.0: MEDIA

Última modificación:

29/05/2026

CVE-2026-10052

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** A flaw was found in the Quay config-tool&#39;s LDAP and SMTP validation functions. An attacker with config editor access can exploit these functions, which make outbound connections to user-supplied endpoints without proper IP or host filtering. This allows the attacker to perform internal network reconnaissance from the Quay pod&#39;s network position, potentially mapping the internal network infrastructure.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/05/2026

CVE-2026-10056

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** CORS misconfiguration in the REST API of Network Optix Nx Witness VMS before version 6.1.2, when running in the default Standard security mode, on Linux and Windows allows an unauthenticated remote attacker to steal the session token of an authenticated user and perform Administrator Account Takeover via a malicious cross-origin web page visited by the victim. The High security mode is not affected.Workaround: For existing installations running in Standard security mode, set Access-Control-Allow-Credentials to false via the REST API: PATCH /rest/v2/system/settings with body {"supportedOrigins": "null"}. Alternatively, select High security level during initial setup. Solution: Update to Nx Witness VMS version 6.1.2 or later, in which Access-Control-Allow-Credentials is set to false in the default Standard security configuration.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/06/2026

CVE-2026-10039

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to generic SQL Injection via the &#39;order&#39; parameter in all versions up to, and including, 3.28.28 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with administrator-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. Exploitation requires that the attacker also supply a valid &#39;orderby&#39; parameter in the same request, as this is necessary to reach the vulnerable code path that processes and concatenates the &#39;order&#39; value into the SQL query.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/05/2026

CVE-2026-4776

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** An SQL injection vulnerability exists in Mautic&#39;s API contact filtering mechanism. Due to insufficient recursive sanitization of nested query parameters, an authenticated API user can bypass input filtering and inject arbitrary SQL commands.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/05/2026

CVE-2026-9243

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Plus Addons for Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the &#39;carousel_direction&#39; parameter of the Carousel Anything widget in versions up to, and including, 6.4.15 This is due to insufficient output escaping in the render() function, where the carousel_direction value is placed into an unquoted HTML attribute (dir=) allowing attribute injection despite the use of esc_attr(). This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/05/2026

CVE-2026-49322

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** Weak authentication in the Wireless Control Module (WCM) of the Indian Motorcycle Scout Bobber + Tech 2025 model year allows an adjacent-network attacker with read access to the in-vehicle network to recover the user-set unlock PIN by passively observing a single PIN authentication exchange. The Infotainment Digital Round display computes its response using a non-cryptographic operation rather than a cryptographic challenge-response, so the PIN is mathematically derivable from one captured exchange, defeating the motorcycle&#39;s primary user-authentication control. Specific protocol details have been withheld pending vendor remediation.

Gravedad CVSS v4.0: MEDIA

Última modificación:

27/06/2026

CVE-2026-3655

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The OTP Login With Phone Number, OTP Verification plugin for WordPress is vulnerable to authentication bypass in versions 1.8.50 through 1.8.60. This is due to the Firebase verification flow in the `lwp_ajax_register` AJAX handler not binding the Firebase session to the phone number supplied in the request. The `idehweb_lwp_activate_through_firebase()` function validates that a Firebase OTP session is legitimate, but the `phoneNumber` returned by Firebase is never compared against the victim&#39;s stored phone number. This makes it possible for unauthenticated attackers to authenticate as any user who has a phone number stored in user meta, including administrators, by verifying their own Firebase session and supplying the victim&#39;s phone number in the same request.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

29/05/2026

CVE-2025-11262

Fecha de publicación:

29/05/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Link Whisper Free plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the user_id parameter in all versions up to, and including, 0.9.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/05/2026

Suscribirse a Vulnerabilidades