Seguridad WordPress

Base de datos de vulnerabilidades

Fuente base: WPScan. Cada ficha puede incluir enriquecimiento editorial con IA para contexto técnico, impacto y mitigación.

Buscar

Tipo

Severidad

40.352 vulnerabilidades

wordpress

378

plugin

36942

theme

3032

HIGH CVSS 7.2

PLUGIN xss CVE-2025-11262

Link Whisper Free <= 0.9.0 - Unauthenticated Stored Cross-Site Scripting

link-whisper

Publicado: 28/05/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) no autenticado en el plugin Link Whisper Free hasta la versión 0.9.0. Esta falla …

CRITICAL CVSS 9.8

PLUGIN authbypass CVE-2026-3655

OTP Login With Phone Number, OTP Verification <= 1.8.60 - Unauthenticated Authentication Bypass via Firebase OTP Verification

Publicado: 28/05/2026

Se ha identificado una vulnerabilidad crítica en el plugin 'OTP Login With Phone Number' que permite un bypass de autenticación sin necesidad de autentica…

MEDIUM CVSS 6.4

PLUGIN xss CVE-2026-9243

The Plus Addons for Elementor <= 6.4.15 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'carousel_direction' Parameter

the-plus-addons-for-elementor-page-builder

Publicado: 28/05/2026

Se ha identificado una vulnerabilidad de tipo XSS almacenado en The Plus Addons para Elementor, que afecta a versiones hasta la 6.4.15. Este fallo permite…

MEDIUM CVSS 4.9

PLUGIN sqli CVE-2026-10039

Frontend Admin by DynamiApps <= 3.28.28 - Authenticated (Administrator+) SQL Injection via 'order' Parameter

acf-frontend-form-element

Publicado: 28/05/2026

Se ha identificado una vulnerabilidad de inyección SQL en el plugin ACF Frontend Admin, que afecta a versiones hasta la 3.28.28. Esta falla permite a usua…

HIGH CVSS 8.1

PLUGIN csrf CVE-2026-6075

Media Library Assistant <= 3.35 - Cross-Site Request Forgery via Bulk Action Form

media-library-assistant

Publicado: 28/05/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Media Library Assistant, afectando a versiones hasta la 3.35.…

MEDIUM CVSS 5.3

PLUGIN authbypass CVE-2026-9189

Contact Form 7 – PayPal & Stripe Add-on <= 2.4.9 - Unauthenticated Payment Bypass via Insufficient Verification of Data Authenticity via PayPal IPN Handler ('invoice'/'mc_gross' Verification)

contact-form-7-paypal-add-on

Publicado: 28/05/2026

Se ha identificado una vulnerabilidad de bypass de autenticación en el complemento Contact Form 7 – PayPal & Stripe Add-on, que permite eludir la verifica…

MEDIUM CVSS 5.3

PLUGIN authbypass CVE-2025-12714

Rank Math SEO – AI SEO Tools to Dominate SEO Rankings <= 1.0.271 - Missing Authorization to Unauthenticated Homepage Settings Modification

seo-by-rank-math

Publicado: 28/05/2026

Se ha identificado una vulnerabilidad en el plugin Rank Math SEO que permite la modificación no autorizada de la configuración de la página de inicio. Est…

CRITICAL CVSS 9.1

PLUGIN authbypass CVE-2026-4290

WP Travel Pro <= 10.6.0 - Missing Authorization to Unauthenticated Arbitrary User Deletion Including Administrators

wp-travel-pro

Publicado: 28/05/2026

Se ha identificado una vulnerabilidad crítica en el plugin WP Travel Pro que permite a usuarios no autenticados eliminar cuentas de usuario, incluyendo ad…

CRITICAL CVSS 9.8

PLUGIN privesc CVE-2026-8732

WP Maps Pro <= 6.1.0 - Unauthenticated Privilege Escalation via Administrator Account Creation to wpgmp_temp_access_ajax AJAX Action

wp-google-map-gold

Publicado: 28/05/2026

Se ha identificado una vulnerabilidad crítica en el plugin WP Maps Pro que permite la escalación de privilegios a través de la creación de cuentas de admi…

HIGH CVSS 7.2

PLUGIN xss CVE-2026-42738

Smart Online Order for Clover <= 1.6.0 - Unauthenticated Stored Cross-Site Scripting

clover-online-orders

Publicado: 27/05/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Clover Online Orders, afectando a versiones anteriores a la 1.6.1. E…

MEDIUM CVSS 4.3

PLUGIN CVE-2026-49051

WP Meta and Date Remover <= 2.3.6 - Missing Authorization

wp-meta-and-date-remover

Publicado: 27/05/2026

Se ha identificado un fallo de autorización en el plugin WP Meta and Date Remover, que afecta a las versiones hasta la 2.3.6. Esta vulnerabilidad puede pe…

MEDIUM CVSS 6.5

PLUGIN sqli CVE-2026-49046

Duplicate Page and Post <= 2.9.5 - Authenticated (Contributor+) SQL Injection

duplicate-wp-page-post

Publicado: 27/05/2026

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Duplicate Page and Post, afectando versiones hasta la 2.9.5. Esta falla permite a usua…