Seguridad WordPress

Base de datos de vulnerabilidades

Fuente base: WPScan. Cada ficha puede incluir enriquecimiento editorial con IA para contexto técnico, impacto y mitigación.

Buscar

Tipo

Severidad

40.352 vulnerabilidades

wordpress

378

plugin

36942

theme

3032

MEDIUM CVSS 4.3

PLUGIN rce CVE-2026-9241

FOX – Currency Switcher Professional for WooCommerce <= 1.4.6 - Authenticated (Subscriber+) Authorization Bypass via User-Controlled Key to 'wooc_order_user_roles' Parameter

woocommerce-currency-switcher

Publicado: 27/05/2026

Se ha identificado una vulnerabilidad en el plugin 'FOX – Currency Switcher Professional for WooCommerce' que permite un bypass de autorización para usuar…

HIGH CVSS 8.8

PLUGIN CVE-2026-7802

Frontend Admin by DynamiApps <= 3.29.2 - Missing Authorization to Authenticated (Subscriber+) Account Takeover via 'user_id' URL Query Parameter

acf-frontend-form-element

Publicado: 27/05/2026

Se ha identificado una vulnerabilidad crítica en el plugin ACF Frontend Admin, que permite la toma de control de cuentas de usuarios autenticados mediante…

MEDIUM CVSS 6.5

PLUGIN ssrf CVE-2026-5737

Independent Analytics <= 2.14.9 - Unauthenticated Server-Side Request Forgery via Tracking Route

independent-analytics

Publicado: 27/05/2026

Se ha identificado una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el plugin Independent Analytics, afectando versiones hasta 2.14.9. Est…

HIGH CVSS 7.2

PLUGIN xss CVE-2026-2374

Login No Captcha reCAPTCHA <= 1.8.0 - Unauthenticated Stored Cross-Site Scripting via PHP_SELF

Publicado: 27/05/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Login No Captcha reCAPTCHA, que afecta a versiones anteriores a la 1…

MEDIUM CVSS 4.3

PLUGIN idor CVE-2026-9228

Timetable and Event Schedule by MotoPress <= 2.4.16 - Insecure Direct Object Reference to Authenticated (Contributor+) Sensitive Information Exposure via action_get_event_data Function

mp-timetable

Publicado: 27/05/2026

Se ha identificado una vulnerabilidad de referencia de objeto directo insegura (IDOR) en el plugin Timetable and Event Schedule by MotoPress, que afecta a…

MEDIUM CVSS 6.5

PLUGIN idor CVE-2026-3173

Meta Field Block <= 1.5.1 - Insecure Direct Object Reference to Authenticated (Contributor+) Arbitrary User Meta Exposure

display-a-meta-field-as-block

Publicado: 27/05/2026

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin Meta Field Block, que permite la exposición de metadatos de usuarios autenticados con rol …

MEDIUM CVSS 6.4

PLUGIN xss CVE-2026-9644

LiveSmart Video Chat <= 1.2 - Authenticated (Contributor+) Stored Cross-Site Scripting

new-dev-livesmart-video-chat

Publicado: 27/05/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin LiveSmart Video Chat, afectando versiones hasta la 1.2. Esta falla p…

MEDIUM CVSS 4.3

PLUGIN csrf CVE-2026-7533

Easy Digital Downloads <= 3.6.7 - Cross-Site Request Forgery to Payment Account Hijacking via 'square_tokens' Parameter

easy-digital-downloads

Publicado: 27/05/2026

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Easy Digital Downloads hasta la versión 3.6.7. Esta falla per…

HIGH CVSS 8.8

PLUGIN rce CVE-2026-9009

Crawlomatic Multipage Scraper Post Generator <= 2.7.2 - Authenticated (Author+) Remote Code Execution via 'callback_raw' Shortcode Attribute

crawlomatic-multipage-scraper-post-generator

Publicado: 27/05/2026

La extensión Crawlomatic Multipage Scraper Post Generator presenta una vulnerabilidad crítica de ejecución remota de código (RCE) en versiones hasta 2.7.2…

MEDIUM CVSS 4.3

PLUGIN CVE-2026-8682

3D Viewer <= 2.0.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Plugin Settings Modification via settings REST endpoint

ar-vr-3d-model-try-on

Publicado: 27/05/2026

El plugin 3D Viewer hasta la versión 2.0.1 presenta una vulnerabilidad que permite a usuarios autenticados (nivel Subscriber+) modificar configuraciones a…

MEDIUM CVSS 4.3

PLUGIN CVE-2026-7621

SMTP2GO for WordPress <= 1.16.0 - Missing Authorization to Authenticated (Subscriber+) Log Read/Truncate

smtp2go

Publicado: 27/05/2026

Se ha identificado una vulnerabilidad en el plugin SMTP2GO para WordPress que permite a usuarios autenticados con rol de suscriptor acceder y truncar regi…

HIGH CVSS 8.8

PLUGIN upload CVE-2026-9227

GutenBee <= 2.20.1 - Authenticated (Author+) Arbitrary File Upload via wp_check_filetype_and_ext Filter

gutenbee

Publicado: 27/05/2026

Se ha identificado una vulnerabilidad crítica en el plugin GutenBee, que permite la carga de archivos arbitrarios a través del filtro wp_check_filetype_an…