Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-18100

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The MetForm – Contact Form, Survey, Quiz, & Custom Form Builder for Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via &#39;mf_form_id&#39; Widget Setting in all versions up to, and including, 4.1.8 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The payload bypasses Elementor&#39;s save-time wp_kses_post filter because it contains no HTML tags, and MetForm&#39;s own str_replace transformation of script tags into JavaScript template literal expressions provides an additional delivery path.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/08/2026

CVE-2026-18323

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Forminator Forms – Contact Form, Payment Form & Custom Form Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Radio Field (Save and Continue Draft) in all versions up to, and including, 1.57.0.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is exploitable because the Save-and-Continue draft submission AJAX endpoint is registered as nopriv, allowing unauthenticated attackers to bypass radio field option-membership validation and persist a crafted payload that, when rendered on the Submissions admin page, is auto-executed via the bundled Inputmask library&#39;s data-attribute callback binding.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/08/2026

CVE-2026-18328

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Forminator Forms – Contact Form, Payment Form & Custom Form Builder plugin for WordPress is vulnerable to DOM-Based Reflected Cross-Site Scripting via the &#39;error_description&#39; parameter in all versions up to, and including, 1.57.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The vulnerability is only triggerable on pages hosting a Forminator form configured to use the Stripe Checkout Sessions payment API, which became the default in 1.56.0.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/08/2026

CVE-2026-18512

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The TranslatePress – Translate Multilingual sites with AI Translation plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Approved Comment Body Rendered in Translation Editor Strings Dropdown in all versions up to, and including, 3.2.6 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/08/2026

CVE-2026-19851

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A Use of Default Password vulnerability affecting Tuleap Enterprise Edition from 17.0 through 17.5 could allow an attacker to gain access to user accounts created during XML import.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/08/2026

CVE-2026-66109

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A missing authorization vulnerability exists in SKYSEA Client View and SKYMEC IT Manager. If this vulnerability is exploited, an attacker who can log in to the Windows system on which the affected product is installed may execute arbitrary code with SYSTEM privilege.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

CVE-2026-68959

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** SKYSEA Client View and SKYMEC IT Manager contain a path traversal vulnerability. If this vulnerability is exploited, an attacker who can log in to a Windows system on which the affected product is installed may be able to execute arbitrary code on another Windows system that has the affected products installed and can receive UDP packets from that system. Note that this vulnerability is due to an incomplete fix for CVE-2024-41726.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-78656

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A vulnerability was found in itsourcecode Sales and Inventory System 1.0. Affected is an unknown function of the file /pages/cust_del.php. The manipulation of the argument ID results in sql injection. The attack can be executed remotely. The exploit has been made public and could be used.

Gravedad CVSS v4.0: BAJA

Última modificación:

26/08/2026

CVE-2026-68062

Fecha de publicación:

25/08/2026

Idioma:

Inglés

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-68960

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** A stack-based buffer overflow vulnerability exists in SKYSEA Client View and SKYMEC IT Manager. If this vulnerability is exploited, an attacker who can log in to a Windows system on which the affected product is installed may be able to execute arbitrary code on another Windows system that has the affected product installed and can receive UDP packets from that system.

Gravedad CVSS v4.0: MEDIA

Última modificación:

25/08/2026

CVE-2026-69665

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** SKYSEA Client View and SKYMEC IT Manager contain an issue with incorrect default permissions. If this vulnerability is exploited, an attacker who can log in to a Windows system on which the affected product is installed may execute arbitrary code with SYSTEM privilege.

Gravedad CVSS v4.0: ALTA

Última modificación:

25/08/2026

CVE-2026-78477

Fecha de publicación:

25/08/2026

Idioma:

Inglés

*** Pendiente de traducción *** The Jawn theme for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 1.4.2. This makes it possible for unauthenticated attackers to elevate their privileges to that of an administrator.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

26/08/2026

Suscribirse a Vulnerabilidades