Seguridad WordPress

Base de datos de vulnerabilidades

Fuente base: WPScan. Cada ficha puede incluir enriquecimiento editorial con IA para contexto técnico, impacto y mitigación.

Buscar

Tipo

Severidad

38.779 vulnerabilidades

wordpress

378

plugin

35529

theme

2872

HIGH CVSS 8.1

PLUGIN rce CVE-2026-25328

Product File Upload for WooCommerce <= 2.2.4 - Unauthenticated Arbitrary File Deletion

products-file-upload-for-woocommerce

Publicado: 23/03/2026

Se ha identificado una vulnerabilidad crítica en el plugin 'Product File Upload for WooCommerce' que permite la eliminación arbitraria de archivos sin aut…

HIGH CVSS 8.1

THEME authbypass CVE-2026-25029

KIDZ <= 5.24 - Unauthenticated PHP Object Injection

kidz

Publicado: 23/03/2026

Se ha identificado una vulnerabilidad crítica en el tema KIDZ, que permite la inyección de objetos PHP no autenticados. Esta falla afecta a las versiones …

HIGH CVSS 8.1

THEME authbypass CVE-2026-25032

Ricky < 2.31 - Unauthenticated PHP Object Injection

ricky

Publicado: 23/03/2026

Se ha identificado una vulnerabilidad de inyección de objetos PHP no autenticada en el tema Ricky, que afecta a versiones anteriores a la 2.31. Esta vulne…

HIGH CVSS 8.1

THEME authbypass CVE-2026-25031

Tasty Daily < 1.27 - Unauthenticated PHP Object Injection

tastydaily

Publicado: 23/03/2026

La vulnerabilidad identificada en el tema Tasty Daily, anterior a la versión 1.27, permite la inyección de objetos PHP sin autenticación, lo que represent…

HIGH CVSS 8.1

THEME authbypass CVE-2026-25030

Goldish < 3.47 - Unauthenticated PHP Object Injection

goldish

Publicado: 23/03/2026

La vulnerabilidad en el tema Goldish permite la inyección de objetos PHP no autenticados, lo que puede llevar a un bypass de autenticación. Esta falla tie…

HIGH CVSS 8.1

THEME authbypass CVE-2026-23971

Woodmart <= 8.3.8 - Unauthenticated PHP Object Injection

woodmart

Publicado: 23/03/2026

Se ha identificado una vulnerabilidad crítica en el tema Woodmart, que permite la inyección de objetos PHP sin autenticación. Esta falla, catalogada con u…

MEDIUM CVSS 4.3

PLUGIN idor CVE-2026-32533

LatePoint – Calendar Booking Plugin for Appointments and Events <= 5.2.6 - Authenticated (Subscriber+) Insecure Direct Object Reference

latepoint

Publicado: 23/03/2026

Se ha identificado una vulnerabilidad de referencia de objeto directo inseguro (IDOR) en el plugin LatePoint para WordPress, que afecta a las versiones ha…

MEDIUM CVSS 4.3

PLUGIN idor CVE-2026-32535

JS Help Desk – AI-Powered Support & Ticketing System <= 3.0.3 - Authenticated (Subscriber+) Insecure Direct Object Reference

js-support-ticket

Publicado: 23/03/2026

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin JS Help Desk, que afecta a las versiones hasta la 3.0.3. Esta vulnerabilidad permite a usu…

MEDIUM CVSS 6.5

PLUGIN sqli CVE-2026-2412

Quiz and Survey Master (QSM) <= 10.3.5 - Authenticated (Contributor+) SQL Injection via 'merged_question' Parameter

quiz-master-next

Publicado: 23/03/2026

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Quiz and Survey Master (QSM) en versiones hasta la 10.3.5. Este fallo permite a usuari…

MEDIUM CVSS 4.3

PLUGIN CVE-2026-4066

Smart Custom Fields <= 5.0.6 - Missing Authorization to Authenticated (Contributor+) Sensitive Information Exposure via Relational Post Search

smart-custom-fields

Publicado: 23/03/2026

Se ha identificado una vulnerabilidad en el plugin Smart Custom Fields, que afecta a las versiones hasta la 5.0.6. Esta vulnerabilidad permite la exposici…

MEDIUM CVSS 4.3

PLUGIN CVE-2026-3225

LearnPress <= 4.3.2.8 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Quiz Answer Deletion

learnpress

Publicado: 23/03/2026

Se ha identificado una vulnerabilidad en el plugin LearnPress, que permite la eliminación arbitraria de respuestas a cuestionarios por parte de usuarios a…

HIGH CVSS 7.5

PLUGIN sqli CVE-2026-4306

WP Job Portal <= 2.4.8 - Unauthenticated SQL Injection via 'radius' Parameter

wp-job-portal

Publicado: 23/03/2026

Se ha identificado una vulnerabilidad crítica en el plugin WP Job Portal, que permite la inyección SQL no autenticada a través del parámetro 'radius'. Est…