Seguridad WordPress

Base de datos de vulnerabilidades

Fuente base: WPScan. Cada ficha puede incluir enriquecimiento editorial con IA para contexto técnico, impacto y mitigación.

Buscar

Tipo

Severidad

39.417 vulnerabilidades

wordpress

378

plugin

36089

theme

2950

MEDIUM CVSS 5.3

PLUGIN authbypass CVE-2025-14755

Cost Calculator Builder <= 4.0.1 - Unauthenticated Price Manipulation and Insecure Direct Object Reference

cost-calculator-builder

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad en el plugin Cost Calculator Builder, que permite la manipulación no autenticada de precios. Esta falla puede compro…

MEDIUM CVSS 5.4

PLUGIN CVE-2026-7051

Blog2Social: Social Media Auto Post & Scheduler <= 8.9.0 - Missing Authorization to Authenticated (Subscriber+) Delete Arbitrary B2S Post Records via 'postId' Parameter

blog2social

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad en el plugin Blog2Social que permite a usuarios autenticados de nivel Suscriptor y superior eliminar registros de po…

MEDIUM CVSS 4.4

PLUGIN xss CVE-2025-9989

Broadstreet <= 1.53.1 - Authenticated (Admin+) Stored Cross-Site Scripting

broadstreet

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Broadstreet hasta la versión 1.53.1. Este fallo, con una severidad m…

MEDIUM CVSS 5.3

PLUGIN disclosure CVE-2025-9987

Broadstreet <= 1.53.1 - Authenticated (Subscriber+) Information Disclosure

broadstreet

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad en el plugin Broadstreet (versiones <= 1.53.1) que permite la divulgación de información sensible a usuarios autenti…

HIGH CVSS 8.1

PLUGIN authbypass CVE-2026-7635

coreActivity: Activity Logging for WordPress <= 3.0 - Unauthenticated PHP Object Injection via 'user_agent' Log Meta Field

coreactivity

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad crítica en el plugin coreActivity que permite la inyección de objetos PHP sin necesidad de autenticación. Este fallo…

MEDIUM CVSS 4.3

PLUGIN CVE-2025-9988

Broadstreet <= 1.53.1 - Missing Authorization to Authenticated (Subscriber+) Advertiser Creation

broadstreet

Publicado: 12/05/2026

Se ha detectado una vulnerabilidad en el plugin Broadstreet hasta la versión 1.53.1, que permite la creación de anunciantes sin la autorización adecuada p…

MEDIUM CVSS 6.5

PLUGIN sqli CVE-2026-7619

Charitable <= 1.8.10.4 - Authenticated (Custom+) SQL Injection via 's' Search Parameter

charitable

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Charitable, afectando a versiones hasta la 1.8.10.4. Esta falla permite a un atacante …

MEDIUM CVSS 6.4

PLUGIN xss CVE-2026-6962

Cost of Goods: Product Cost & Profit Calculator for WooCommerce <= 4.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting

cost-of-goods-for-woocommerce

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Cost of Goods para WooCommerce, afectando a versiones hasta la 4.1.0…

MEDIUM CVSS 6.4

PLUGIN xss CVE-2026-6828

Fluent Forms <= 6.2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'permission_message' Shortcode Attribute

fluentform

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Fluent Forms hasta la versión 6.2.1, que permite a usuarios autentic…

MEDIUM CVSS 5.3

PLUGIN rce CVE-2025-14033

ilGhera Support System for WooCommerce <= 1.3.0 - Missing Authorization to Unauthenticated Sensitive Information Exposure

wc-support-system

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad en el plugin ilGhera Support System para WooCommerce, que permite la exposición de información sensible a usuarios n…

HIGH CVSS 7.5

PLUGIN sqli CVE-2026-6929

JoomSport <= 5.7.7 - Unauthenticated SQL Injection via 'sortf' Parameter

joomsport-sports-league-results-management

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad crítica de inyección SQL en el plugin JoomSport hasta la versión 5.7.7. Esta falla permite a atacantes no autenticad…

MEDIUM CVSS 5.3

PLUGIN idor CVE-2026-6965

Tutor LMS <= 3.9.9 - Insecure Direct Object Reference to Authenticated (Instructor+) Arbitrary Post Deletion via 'course' GET Parameter

tutor

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin Tutor LMS, que permite a los usuarios autenticados con rol de instructor borrar publicacio…