Seguridad WordPress

Base de datos de vulnerabilidades

Fuente base: WPScan. Cada ficha puede incluir enriquecimiento editorial con IA para contexto técnico, impacto y mitigación.

Buscar

Tipo

Severidad

40.352 vulnerabilidades

wordpress

378

plugin

36942

theme

3032

MEDIUM CVSS 4.3

PLUGIN rce CVE-2026-40790

WSMS (formerly WP SMS) – SMS & MMS Notifications with OTP and 2FA for WooCommerce <= 7.2.1 - Authenticated (Subscriber+) Information Exposure

wp-sms

Publicado: 23/04/2026

Una vulnerabilidad en el plugin WP SMS (hasta la versión 7.2.1) permite la exposición de información sensible a usuarios autenticados. Esto puede comprome…

MEDIUM CVSS 6.1

THEME xss CVE-2026-41554

Bricks <= 1.9.2 - Reflected Cross-Site Scripting

bricks

Publicado: 23/04/2026

Se ha detectado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el tema Bricks en versiones hasta la 1.9.2. Este fallo puede comprometer la segur…

MEDIUM CVSS 5.3

PLUGIN authbypass CVE-2026-40789

Booking for Appointments and Events Calendar – Amelia <= 2.2 - Unauthenticated Information Exposure

ameliabooking

Publicado: 23/04/2026

Se ha identificado una vulnerabilidad en el plugin Amelia Booking para WordPress que permite la exposición no autenticada de información. Este fallo puede…

MEDIUM CVSS 5.3

PLUGIN CVE-2026-2028

Maxi Blocks <= 2.1.8 - Missing Authorization to Authenticated (Author+) Media File Deletion via 'old_media_src' Parameter

maxi-blocks

Publicado: 23/04/2026

Se ha identificado una vulnerabilidad en el plugin Maxi Blocks (versiones <= 2.1.8) que permite la eliminación no autorizada de archivos multimedia por us…

MEDIUM CVSS 4.3

PLUGIN CVE-2026-6393

BetterDocs <= 4.3.11 - Missing Authorization to Authenticated (Subscriber+) Unauthorized AI API Usage

betterdocs

Publicado: 23/04/2026

Se ha identificado una vulnerabilidad en el plugin BetterDocs (versiones hasta 4.3.11) que permite el uso no autorizado de la API por parte de usuarios au…

MEDIUM CVSS 5.3

PLUGIN CVE-2026-5488

ExactMetrics <= 9.1.2 - Authenticated (Subscriber+) Missing Authorization to Google Ads Access Token Retrieval via AJAX Action 'exactmetrics_ads_get_token'

google-analytics-dashboard-for-wp

Publicado: 23/04/2026

Se ha detectado una vulnerabilidad en el plugin ExactMetrics hasta la versión 9.1.2 que permite a usuarios autenticados con rol de suscriptor o superior a…

MEDIUM CVSS 5.3

PLUGIN idor CVE-2026-6810

Booking Calendar Contact Form <= 1.2.63 - Authenticated (Subscriber+) Insecure Direct Object Reference to Calendar Takeover

booking-calendar-contact-form

Publicado: 23/04/2026

Se ha detectado una vulnerabilidad de tipo IDOR en el plugin Booking Calendar Contact Form, permitiendo a usuarios autenticados acceder y tomar control de…

MEDIUM CVSS 6.4

PLUGIN xss CVE-2026-5428

Royal Addons for Elementor <= 1.7.1056 - Authenticated (Author+) Stored Cross-Site Scripting via Image Caption Field

royal-elementor-addons

Publicado: 23/04/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Royal Addons for Elementor, afectando a versiones anteriores a 1.7.1…

HIGH CVSS 8.1

PLUGIN authbypass CVE-2026-5364

Drag and Drop File Upload for Contact Form 7 <= 1.1.3 - Unauthenticated Arbitrary File Upload via sanitize_file_name Bypass

drag-and-drop-file-upload-for-contact-form-7

Publicado: 23/04/2026

Se ha identificado una vulnerabilidad crítica en el plugin 'Drag and Drop File Upload for Contact Form 7' que permite la carga arbitraria de archivos sin …

MEDIUM CVSS 5.3

PLUGIN authbypass CVE-2026-5347

WP Books Gallery <= 4.8.0 - Missing Authorization to Unauthenticated Settings Update via 'permalink_structure' Parameter

wp-books-gallery

Publicado: 23/04/2026

La extensión WP Books Gallery en versiones hasta la 4.8.0 presenta una vulnerabilidad de omisión de autenticación que permite actualizaciones no autorizad…

MEDIUM CVSS 4.3

PLUGIN csrf CVE-2026-3565

Taqnix <= 1.0.3 - Cross-Site Request Forgery to Account Deletion via 'taqnix_delete_my_account' AJAX Action

taqnix

Publicado: 23/04/2026

Una vulnerabilidad de tipo CSRF en el plugin Taqnix, hasta la versión 1.0.3, permite la eliminación de cuentas a través de la acción AJAX 'taqnix_delete_m…

MEDIUM CVSS 5.3

PLUGIN authbypass CVE-2026-3569

Liaison Site Prober <= 1.2.1 - Missing Authorization to Unauthenticated Information Exposure in '/logs' REST API Endpoint

liaison-site-prober

Publicado: 23/04/2026

Se ha identificado una vulnerabilidad en el plugin Liaison Site Prober (versiones <= 1.2.1) que permite la exposición de información sin autorización a tr…