Seguridad WordPress

Base de datos de vulnerabilidades

Fuente base: WPScan. Cada ficha puede incluir enriquecimiento editorial con IA para contexto técnico, impacto y mitigación.

Buscar

Tipo

Severidad

41.826 vulnerabilidades

wordpress

389

plugin

38325

theme

3112

CRITICAL CVSS 9.8

PLUGIN rce CVE-2025-10656

Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light <= 2.4.37 - Missing Authorization to Unauthenticated Privilege Escalation via Admin Account Creation

excel-like-price-change-for-woocommerce-and-wp-e-commerce-light

Publicado: 28/07/2026

Se ha identificado una vulnerabilidad crítica en el plugin 'Spreadsheet Price Changer' para WooCommerce, permitiendo la escalación de privilegios sin auto…

HIGH CVSS 7.2

PLUGIN xss CVE-2026-16597

GTM4WP <= 1.22.3 - Unauthenticated Stored Cross-Site Scripting via WooCommerce Billing Fields

duracelltomi-google-tag-manager

Publicado: 28/07/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin GTM4WP, que permite la ejecución de scripts maliciosos a través de l…

HIGH CVSS 7.2

PLUGIN xss CVE-2026-16655

Fluent Forms <= 6.2.7 - Unauthenticated Stored Cross-Site Scripting via Name Field Nested `password` Member

fluentform

Publicado: 28/07/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Fluent Forms, afectando a versiones hasta la 6.2.7. Este fallo permi…

CRITICAL CVSS 9.8

PLUGIN rce CVE-2026-14900

Cost Calculator Builder PRO <= 4.0.3 - Unauthenticated Remote Code Execution via 'orderDetails' Parameter

cost-calculator-builder-pro

Publicado: 28/07/2026

Se ha identificado una vulnerabilidad crítica en el plugin Cost Calculator Builder PRO que permite la ejecución remota de código sin autenticación a travé…

CRITICAL CVSS 9.1

PLUGIN authbypass CVE-2026-14488

Meta Box AIO <= 3.8.0 - Missing Authorization to Unauthenticated Arbitrary Post Deletion via 'rwmb_frontend_field_object_id' Parameter

meta-box-aio

Publicado: 28/07/2026

Se ha identificado una vulnerabilidad crítica en el plugin Meta Box AIO (versiones hasta 3.8.0) que permite la eliminación arbitraria de publicaciones sin…

MEDIUM CVSS 5.3

PLUGIN authbypass CVE-2026-4604

Klubraum Membership Request <= 1.1.0 - Missing Authorization to Unauthenticated Arbitrary Plugin Settings Update

klubraum-membership-request

Publicado: 28/07/2026

Se ha identificado una vulnerabilidad de tipo bypass de autorización en el plugin Klubraum Membership Request, que permite la actualización no autorizada …

MEDIUM CVSS 4.9

PLUGIN ssrf CVE-2026-6089

WP CTA <= 2.1.2 - Authenticated (Administrator+) Server-Side Request Forgery

easy-sticky-sidebar

Publicado: 28/07/2026

La extensión Easy Sticky Sidebar presenta una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en versiones anteriores a la 2.1.3. Esta falla, qu…

MEDIUM CVSS 6.5

PLUGIN idor CVE-2026-5060

MasterStudy LMS WordPress Plugin – for Online Courses and Education <= 3.7.14 - Insecure Direct Object Reference to Authenticated (Instructor+) Arbitrary Attachment Deletion

masterstudy-lms-learning-management-system

Publicado: 28/07/2026

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin MasterStudy LMS, que permite la eliminación arbitraria de archivos por usuarios autenticad…

MEDIUM CVSS 6.4

PLUGIN xss CVE-2026-7436

WPC Badge Management for WooCommerce <= 3.1.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'text' Attribute

wpc-badge-management

Publicado: 28/07/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WPC Badge Management para WooCommerce, afectando a versiones hasta l…

HIGH CVSS 7.2

PLUGIN sqli

Advanced Shipment Tracking for WooCommerce <= 3.9 - Authenticated (Shop Manager+) SQL Injection via 'tracking_provider' Parameter

woo-advanced-shipment-tracking

Publicado: 28/07/2026

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Advanced Shipment Tracking para WooCommerce, que afecta a versiones hasta la 3.9. Esta…

MEDIUM CVSS 6.4

PLUGIN xss CVE-2026-8791

Booking System Trafft <= 1.0.17 - Authenticated (Subscriber+) Stored Cross-Site Scripting

booking-system-trafft

Publicado: 28/07/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Booking System Trafft, que afecta a versiones hasta la 1.0.17. Esta …

MEDIUM CVSS 4.3

PLUGIN csrf CVE-2026-5582

FuseWP <= 1.1.24.2 - Cross-Site Request Forgery to Sync Rule Status Toggle

fusewp

Publicado: 28/07/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin FuseWP, que afecta a las versiones hasta la 1.1.24.2. Esta fa…