Seguridad WordPress

Base de datos de vulnerabilidades

Fuente base: WPScan. Cada ficha puede incluir enriquecimiento editorial con IA para contexto técnico, impacto y mitigación.

Buscar

Tipo

Severidad

38.779 vulnerabilidades

wordpress

378

plugin

35529

theme

2872

MEDIUM CVSS 5.3

PLUGIN authbypass CVE-2026-4812

Advanced Custom Fields (ACF®) <= 6.7.0 - Unauthenticated Missing Authorization to Arbitrary Post/Page Disclosure via AJAX Field Query Parameters

advanced-custom-fields

Publicado: 14/04/2026

Se ha identificado una vulnerabilidad en el plugin Advanced Custom Fields (ACF) que permite la divulgación no autorizada de contenido arbitrario a través …

HIGH CVSS 7.2

PLUGIN xss CVE-2026-2834

Age Verification & Identity Verification by Token of Trust <= 3.32.3 - Unauthenticated Stored Cross-Site Scripting via 'description' Parameter

token-of-trust

Publicado: 14/04/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Age Verification & Identity Verification by Token of Trust' en vers…

MEDIUM CVSS 5.4

PLUGIN CVE-2026-1509

Avada (Fusion) Builder <= 3.15.1 - Authenticated (Subscriber+) Limited Arbitrary WordPress Action Execution

fusion-builder

Publicado: 14/04/2026

Se ha identificado una vulnerabilidad en Fusion Builder (hasta la versión 3.15.1) que permite la ejecución de acciones arbitrarias por usuarios autenticad…

MEDIUM CVSS 5.3

PLUGIN CVE-2026-39525

Booking Activities <= 1.16.48.1 - Missing Authorization

booking-activities

Publicado: 13/04/2026

Se ha detectado una vulnerabilidad de autorización en el plugin Booking Activities, versiones hasta la 1.16.48.1. Este fallo, catalogado con una severidad…

HIGH CVSS 7.5

PLUGIN sqli CVE-2026-39530

SpeakOut! Email Petitions <= 4.6.5 - Unauthenticated SQL Injection

speakout

Publicado: 13/04/2026

Se ha identificado una vulnerabilidad crítica de inyección SQL en el plugin SpeakOut! para WordPress, que afecta a versiones hasta la 4.6.5. Esta falla pe…

HIGH CVSS 7.2

PLUGIN xss CVE-2026-39463

ManageWP Worker <= 4.9.31 - Unauthenticated Stored Cross-Site Scripting

worker

Publicado: 13/04/2026

La extensión ManageWP Worker hasta la versión 4.9.31 presenta una vulnerabilidad de tipo XSS almacenado no autenticado. Esta falla permite a un atacante i…

MEDIUM CVSS 5.3

PLUGIN CVE-2026-39513

Easy Appointments <= 3.12.21 - Missing Authorization

easy-appointments

Publicado: 13/04/2026

La versión 3.12.21 del plugin Easy Appointments presenta una vulnerabilidad de autorización faltante que puede ser explotada por atacantes. Esta situación…

HIGH CVSS 7.5

PLUGIN CVE-2026-39474

Post Duplicator <= 3.0.10 - Authenticated (Contributor+) PHP Object Injection

post-duplicator

Publicado: 13/04/2026

Se ha identificado una vulnerabilidad de inyección de objetos PHP en el plugin Post Duplicator, afectando a versiones hasta la 3.0.10. Esta falla permite …

MEDIUM CVSS 6.4

PLUGIN xss CVE-2026-39491

Jupiter X Core <= 4.14.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting

jupiterx-core

Publicado: 13/04/2026

Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en el plugin Jupiter X Core, afectando a versiones hasta la 4.14.1. Este fa…

HIGH CVSS 7.5

PLUGIN sqli CVE-2026-39494

Product Filter for WooCommerce by WBW <= 3.1.2 - Unauthenticated SQL Injection

woo-product-filter

Publicado: 13/04/2026

Se ha identificado una vulnerabilidad de inyección SQL no autenticada en el plugin 'Product Filter for WooCommerce' versiones hasta 3.1.2. Esta falla de a…

HIGH CVSS 7.5

PLUGIN sqli CVE-2026-39512

GeoDirectory – WP Business Directory Plugin and Classified Listings Directory <= 2.8.152 - Unauthenticated SQL Injection

geodirectory

Publicado: 13/04/2026

Se ha identificado una vulnerabilidad de inyección SQL no autenticada en el plugin GeoDirectory, afectando a versiones anteriores a la 2.8.154. Esta falla…

HIGH CVSS 7.5

PLUGIN sqli CVE-2026-39511

WP Photo Album Plus <= 9.1.08.001 - Unauthenticated SQL Injection

wp-photo-album-plus

Publicado: 13/04/2026

Se ha identificado una vulnerabilidad de inyección SQL no autenticada en WP Photo Album Plus, afectando a la versión 9.1.08.001. Esta falla permite a un a…