Seguridad WordPress

Base de datos de vulnerabilidades

Fuente base: WPScan. Cada ficha puede incluir enriquecimiento editorial con IA para contexto técnico, impacto y mitigación.

Buscar

Tipo

Severidad

40.352 vulnerabilidades

wordpress

378

plugin

36942

theme

3032

HIGH CVSS 8.8

PLUGIN authbypass CVE-2026-5415

WP Captcha PRO <= 5.38 - Authenticated (Subscriber+) Authentication Bypass via Temporary Login Link

advanced-google-recaptcha

Publicado: 05/06/2026

Se ha identificado una vulnerabilidad crítica en WP Captcha PRO (versión <= 5.38) que permite el bypass de autenticación a través de un enlace de inicio d…

CRITICAL CVSS 9.8

PLUGIN rce CVE-2026-10580

Hippoo Mobile App for WooCommerce <= 1.9.4 - Unauthenticated Authentication Bypass to Administrator Account Takeover via REST API

hippoo

Publicado: 05/06/2026

Se ha identificado una vulnerabilidad crítica en el plugin Hippoo Mobile App para WooCommerce, que permite un bypass de autenticación no autenticado, faci…

HIGH CVSS 8.8

PLUGIN upload CVE-2026-5411

WP Captcha PRO <= 5.38 - Missing Authorization to Authenticated (Subscriber+) Arbitrary File Upload

advanced-google-recaptcha

Publicado: 05/06/2026

Se ha identificado una vulnerabilidad crítica en WP Captcha PRO, que permite a usuarios autenticados (nivel Subscriber+) cargar archivos de forma arbitrar…

MEDIUM CVSS 4.3

PLUGIN disclosure CVE-2026-7523

Alba Board <= 2.1.3 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via 'card_id' Parameter

alba-board

Publicado: 05/06/2026

Se ha identificado una vulnerabilidad en el plugin Alba Board hasta la versión 2.1.3, que permite la divulgación de información sensible a usuarios autent…

HIGH CVSS 8.8

PLUGIN rce CVE-2026-7654

Admin Columns <= 7.0.18 - Authenticated (Contributor+) PHP Object Injection to Remote Code Execution via Custom Field Meta Value

codepress-admin-columns

Publicado: 05/06/2026

Se ha identificado una vulnerabilidad crítica en el plugin Admin Columns (hasta la versión 7.0.18) que permite la ejecución remota de código a través de l…

MEDIUM CVSS 6.4

PLUGIN xss CVE-2026-8893

Express Payment For Stripe <= 1.28.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes

wp-stripe-express

Publicado: 05/06/2026

Se ha identificado una vulnerabilidad de tipo XSS en el plugin WP Stripe Express, afectando a versiones hasta la 1.28.0. Esta falla permite la ejecución d…

MEDIUM CVSS 4.3

PLUGIN csrf CVE-2026-7047

Frontend User Notes <= 2.1.1 - Cross-Site Request Forgery to Note Content Modification via 'confirmEdit' Action

frontend-user-notes

Publicado: 05/06/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Frontend User Notes, que permite la modificación no autorizad…

MEDIUM CVSS 6.4

PLUGIN xss CVE-2026-8900

Simple SEO Slideshow <= 1.2.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes

simple-seo-slideshow

Publicado: 05/06/2026

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin Simple SEO Slideshow, que afecta a versiones hasta la 1.2.8. Este fallo permite …

LOW CVSS 3.8

PLUGIN CVE-2025-12656

Migration, Backup, Staging – WPvivid Backup & Migration <= 0.9.128 - Authenticated (Admin+) Arbitrary Directory Deletion

wpvivid-backuprestore

Publicado: 05/06/2026

Se ha identificado una vulnerabilidad en el plugin WPvivid Backup & Migration, que permite a usuarios autenticados con privilegios de administrador elimin…

HIGH CVSS 7.5

PLUGIN lfi CVE-2026-9290

WP User Manager <= 2.9.17 - Unauthenticated Path Traversal to Local File Inclusion via 'tab' Query Parameter

wp-user-manager

Publicado: 05/06/2026

Se ha identificado una vulnerabilidad crítica en WP User Manager que permite la inclusión de archivos locales sin autenticación. Esta falla puede comprome…

MEDIUM CVSS 4.3

PLUGIN idor CVE-2026-10038

Charitable <= 1.8.11.1 - Authenticated (Subscriber+) Insecure Direct Object Reference to Arbitrary Attachment Deletion via 'avatar' Parameter

charitable

Publicado: 05/06/2026

Se ha identificado una vulnerabilidad en el plugin Charitable, que permite la eliminación no autorizada de archivos a través del parámetro 'avatar'. Esta …

MEDIUM CVSS 5.3

PLUGIN authbypass CVE-2026-8608

Event Monster <= 2.1.0 - Unauthenticated Insufficient Verification of Data Authenticity to Payment Bypass via em_capture_payment AJAX Action

event-monster

Publicado: 05/06/2026

Se ha identificado una vulnerabilidad en el plugin Event Monster, que permite el bypass de autenticación en la acción AJAX em_capture_payment. Esto podría…