Seguridad WordPress

Base de datos de vulnerabilidades

Datos técnicos procedentes de Wordfence Intelligence. Análisis y contenido explicativo elaborados por SeguridadWP mediante un proceso editorial asistido por IA.

Buscar

Tipo

Severidad

42.068 vulnerabilidades

wordpress

389

plugin

38552

theme

3127

MEDIUM CVSS 5.3

PLUGIN idor CVE-2026-6965

Tutor LMS <= 3.9.9 - Insecure Direct Object Reference to Authenticated (Instructor+) Arbitrary Post Deletion via 'course' GET Parameter

tutor

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin Tutor LMS, que permite a los usuarios autenticados con rol de instructor borrar publicacio…

MEDIUM CVSS 5.5

PLUGIN xss CVE-2025-14767

WPC Badge Management for WooCommerce <= 3.1.6 - Authenticated (Shop Manager+) Stored Cross-Site Scripting via 'text' Attribute

wpc-badge-management

Publicado: 12/05/2026

La extensión WPC Badge Management para WooCommerce presenta una vulnerabilidad de tipo XSS almacenado en versiones hasta la 3.1.6. Esta falla permite a us…

MEDIUM CVSS 5.3

PLUGIN CVE-2026-2515

Hostinger Reach <= 1.3.8 - Missing Authorization to Authenticated (Subscriber+) Integration API Key Update

hostinger-reach

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad en el plugin Hostinger Reach, versiones hasta la 1.3.8, que permite la actualización de claves API sin la debida aut…

MEDIUM CVSS 6.5

PLUGIN CVE-2026-4782

Avada Builder <= 3.15.2 - Authenticated (Subscriber+) Arbitrary File Read via 'custom_svg' Shortcode Parameter

fusion-builder

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad en Avada Builder (versiones <= 3.15.2) que permite la lectura arbitraria de archivos a través del parámetro 'custom_…

HIGH CVSS 7.5

PLUGIN sqli CVE-2026-4798

Avada Builder <= 3.15.1 - Unauthenticated SQL Injection via 'product_order' Parameter

fusion-builder

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad de inyección SQL en Avada Builder, afectando a versiones hasta 3.15.1. Este fallo permite a un atacante no autentica…

HIGH CVSS 7.5

PLUGIN sqli CVE-2026-1250

Court Reservation – Manage Your Court Bookings Online <= 1.10.11 - Unauthenticated SQL Injection

court-reservation

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad crítica de inyección SQL en el plugin Court Reservation, afectando a versiones hasta 1.10.11. Esta falla permite a u…

HIGH CVSS 7.1

PLUGIN CVE-2026-5371

MonsterInsights <= 10.1.2 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Exposure And Plugin Integration Reset

google-analytics-for-wordpress

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad crítica en el plugin MonsterInsights, que permite la exposición de información sensible a usuarios autenticados con …

MEDIUM CVSS 6.5

PLUGIN authbypass CVE-2025-15463

Advanced Custom Fields: Extended <= 0.9.2.3 - Unauthenticated Arbitrary Shortcode Execution

acf-extended

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad en el plugin Advanced Custom Fields: Extended, que permite la ejecución no autenticada de shortcodes. Este fallo, cl…

HIGH CVSS 7.2

PLUGIN xss CVE-2026-6177

Custom Twitter Feeds <= 2.5.4 - Unauthenticated Stored Cross-Site Scripting via Cached Tweet Text

custom-twitter-feeds

Publicado: 12/05/2026

Se ha detectado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Custom Twitter Feeds hasta la versión 2.5.4. Este fallo permite la ejec…

HIGH CVSS 8.8

PLUGIN lfi CVE-2026-3425

RTMKit Addons for Elementor <= 2.0.2 - Authenticated (Author+) Local File Inclusion via 'path'

rometheme-for-elementor

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad de inclusión de archivos locales (LFI) en el plugin RTMKit Addons para Elementor, afectando a versiones hasta la 2.0…

MEDIUM CVSS 4.3

PLUGIN CVE-2026-3426

RTMKit Addons for Elementor <= 2.0.2 - Authenticated (Author+) Missing Authorization to Widget Configuration Modification

rometheme-for-elementor

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad en RTMKit Addons para Elementor que permite a usuarios autenticados modificar configuraciones de widgets sin la auto…

MEDIUM CVSS 4.3

PLUGIN CVE-2026-4607

ProfileGrid <= 5.9.8.4 - Missing Authorization to Authenticated (Subscriber+) Group Settings Modification

profilegrid-user-profiles-groups-and-communities

Publicado: 12/05/2026

Se ha identificado una vulnerabilidad en el plugin ProfileGrid (versiones hasta 5.9.8.4) que permite a usuarios autenticados con rol de suscriptor y super…