Vulnerabilidades
Resumen — últimos 7 días
Vulnerabilidades nuevas3198▲ 619 respecto a la semana anterior
Críticas / altas1503▲ 126 respecto a la semana anterior
Nueva explotación activa (KEV)5▼ 1 respecto a la semana anterior
Sin puntuar (sin CVSS)243▲ 229 respecto a la semana anterior
3265 resultados, ordenados por fecha de publicación (más recientes primero)
| CVE | Estado | Severidad | EPSS | Explotación activa | Tecnologías afectadas | Publicada ▼ | Modificada | Descripción |
|---|---|---|---|---|---|---|---|---|
| Modificada | Alta (8.8) | 1.1% | — | Welcart E-commerce | 2/1/2023 | 17/6/2026 | El complemento Welcart e-Commerce de WordPress anterior a 2.8.6 no valida la entrada del usuario antes de usarlo en funciones file_exist() a través de varias acciones AJAX disponibles para cualquier usuario autenticado, lo que podría permitir a los usuarios con un rol tan bajo como el de suscriptor realizar la… | |
| Modificada | Media (6.5) | 0.80% | — | Welcart E-commerce | 2/1/2023 | 17/6/2026 | El complemento Welcart e-Commerce de WordPress anterior a 2.8.5 no valida la entrada del usuario antes de usarlo para generar el contenido de un archivo a través de una acción AJAX disponible para cualquier usuario autenticado, lo que podría permitir a los usuarios con un rol tan bajo como el de suscriptor leer… | |
| Modificada | Alta (7.5) | 2.9% | 💥 Exploit | Welcart E-commerce | 2/1/2023 | 17/6/2026 | El complemento Welcart e-Commerce WordPress anterior a 2.8.5 no valida la entrada del usuario antes de usarlo para generar el contenido de un archivo, lo que podría permitir a un atacante no autenticado leer archivos arbitrarios en el servidor. | |
| Modificada | Baja (2.7) | 0.70% | — | Cedcommerce Wholesale Market FOR Woocommerce | 2/1/2023 | 17/6/2026 | El complemento Wholesale Market for WooCommerce de WordPress anterior a 2.0.0 no valida la entrada del usuario contra ataques de recorrido de ruta, lo que permite a usuarios con privilegios elevados, como el administrador, descargar registros arbitrarios del servidor incluso cuando no deberían poder hacerlo (por… | |
| Modificada | Alta (8.8) | 0.91% | — | Smackcoders Visual Email Designer FOR Woocommerce | 2/1/2023 | 17/6/2026 | El complemento Visual Email Designer for WooCommerce de WordPress anterior a 1.7.2 no sanitiza ni escapa adecuadamente un parámetro antes de usarlo en una declaración SQL, lo que genera una inyección de SQL explotable por usuarios con un rol tan bajo como el de autor. | |
| Modificada | Media (6.1) | 0.42% | — | Booster Elite FOR WoocommerceBooster FOR WoocommerceBooster Plus FOR Woocommerce | 26/12/2022 | 17/6/2026 | El complemento Booster para WooCommerce de WordPress anterior a 5.6.3, el complemento de WordPress Booster Plus para WooCommerce anterior a 6.0.0 y el complemento de WordPress Booster Elite para WooCommerce anterior a 6.0.0 no escapan de algunas URL y parámetros antes de devolverlos en atributos, lo que lleva a… | |
| Modificada | Crítica (9.8) | 6.2% | 💥 PoC | Wpswings Return Refund AND Exchange FOR Woocommerce | 26/12/2022 | 17/6/2026 | El complemento Return Refund and Exchange For WooCommerce de WordPress anterior a 4.0.9 no valida que los archivos adjuntos se carguen mediante una acción AJAX disponible para usuarios no autenticados, lo que podría permitirles cargar archivos arbitrarios como PHP y conducir a RCE. | |
| Modificada | Media (6.1) | 1.3% | 💥 Exploit | PHP Curl Class Project PHP Curl ClassHT Slider Range FOR Amazon Affiliates Project HT Slider Range FOR Amazon AffiliatesWoo-qiwi-payment-gatewayTeamleader CRM Forms+2 | 26/12/2022 | 17/6/2026 | php-mod/curl (un contenedor de la extensión PHP cURL) anterior a 2.3.2 permite XSS a través del parámetro clave post_file_path_upload.php y los datos POST en post_multidimensional.php. | |
| Modificada | Media (4.9) | 0.81% | — | Cedcommerce Wholesale Market FOR Woocommerce | 19/12/2022 | 17/6/2026 | El complemento de WordPress Wholesale Market para WooCommerce anterior a 1.0.8 no valida la entrada del usuario utilizada para generar la ruta del sistema, lo que permite a usuarios con privilegios elevados, como el administrador, descargar archivos arbitrarios desde el servidor incluso cuando no deberían poder… | |
| Modificada | Media (6.5) | 0.39% | — | Cedcommerce Smsa Shipping FOR Woocommerce | 19/12/2022 | 17/6/2026 | El complemento de WordPress SMSA Shipping para WooCommerce anterior a 1.0.5 no tiene autorización ni verificaciones CSRF adecuadas, además de no validar el archivo que se descargará, lo que permite a cualquier usuario autenticado, como un suscriptor, descargar un archivo arbitrario desde el servidor. | |
| Modificada | Alta (7.5) | 0.87% | — | Cedcommerce Wholesale Market FOR Woocommerce | 19/12/2022 | 17/6/2026 | El complemento de WordPress Wholesale Market para WooCommerce anterior a 1.0.7 no tiene verificación de autorización y tampoco valida la entrada del usuario utilizada para generar la ruta del sistema, lo que permite a atacantes no autenticados descargar archivos arbitrarios desde el servidor. | |
| Modificada | Media (6.1) | 0.43% | — | SAP Commerce Webservices 2.0 | 13/12/2022 | 17/6/2026 | Debido a la falta de una validación de entrada adecuada, SAP Commerce Webservices 2.0 (Swagger UI): versiones 1905, 2005, 2105, 2011, 2205, permite entradas maliciosas de fuentes no confiables, que un atacante puede aprovechar para ejecutar un ataque de cross site scripting DOM (XSS). Como resultado, un atacante puede… | |
| Modificada | Media (6.5) | 0.34% | — | Booster FOR Woocommerce | 12/12/2022 | 17/6/2026 | Booster for WooCommerce complemento para WordPress anterior a 5.6.7, Booster Plus for WooCommerce complemento para WordPress anterior a 5.6.6, Booster Elite for WooCommerce complemento para WordPress anterior a 1.1.8 no verifican correctamente si hay CSRF al crear y eliminar roles de Customer, lo que permite a los… | |
| Modificada | Media (4.8) | 0.47% | — | Dpdgroup Woocommerce Shipping | 12/12/2022 | 17/6/2026 | El complemento WooCommerce Shipping WordPress hasta la versión 1.2.11 no sanitiza ni escapa a algunas de sus configuraciones, lo que podría permitir a usuarios con privilegios elevados, como el administrador, realizar ataques de cross site scripting almacenado incluso cuando la capacidad unfiltered_html no está… | |
| Modificada | Alta (8.1) | 0.43% | — | Dpdgroup Woocommerce Shipping | 12/12/2022 | 17/6/2026 | El complemento de WordPress de DPD Baltic Shipping anterior a 1.2.57 no tiene autorización ni CSRF en una acción AJAX, lo que podría permitir a cualquier usuario autenticado, como un suscriptor, eliminar opciones arbitrarias del blog, lo que podría hacer que el blog no esté disponible. | |
| Modificada | Media (6.5) | 0.33% | — | Welcart E-commerce | 12/12/2022 | 17/6/2026 | El complemento de WordPress Welcart e-Commerce anterior a 2.8.4 no tiene autorización ni CSRF en una acción AJAX, lo que permite a cualquier usuario que haya iniciado sesión crear, actualizar y eliminar métodos de envío. | |
| Modificada | Media (5.4) | 0.47% | — | Welcart E-commerce | 12/12/2022 | 17/6/2026 | El complemento de WordPress Welcart e-Commerce anterior a 2.8.4 no sanitiza ni escapa a algunos parámetros, lo que podría permitir a cualquier usuario autenticado, como un suscriptor, realizar ataques de cross site scripting almacenado. | |
| Modificada | Crítica (9.8) | 0.75% | — | Hcltechsw HCL Commerce | 12/12/2022 | 17/6/2026 | HCL Commerce, cuando utiliza Elasticsearch, puede permitir que un atacante remoto provoque un ataque de Denegación de Servicio (DoS) en el sitio y realice cambios administrativos. | |
| Modificada | Alta (8.8) | 1.5% | — | Wp-ecommerce Easy WP Smtp | 6/12/2022 | 17/6/2026 | Vulnerabilidad de ejecución remota de código autenticada en el complemento Easy WP SMTP en versiones <= 1.5.1 en WordPress. | |
| Modificada | Media (6.5) | 0.84% | — | Wp-ecommerce Easy WP Smtp | 6/12/2022 | 17/6/2026 | Vulnerabilidad de Path Traversal autorizada en el complemento Easy WP SMTP en versiones <= 1.5.1 en WordPress. | |
| Modificada | Alta (8.1) | 0.90% | — | Wp-ecommerce Easy WP Smtp | 6/12/2022 | 17/6/2026 | Vulnerabilidad de Path Traversal autenticada en el complemento Easy WP SMTP en versiones <= 1.5.1 en WordPress. | |
| Modificada | Crítica (9.8) | 14% | — | Yithemes Yith Woocommerce Gift Cards | 6/12/2022 | 17/6/2026 | Vulnerabilidad de carga de archivos arbitrarios no autorizadas en el complemento YITH WooCommerce Gift Cards premium en versiones <= 3.19.0 en WordPress. | |
| Modificada | Media (6.1) | 0.49% | — | Ecommerce-website Project Ecommerce-website | 5/12/2022 | 17/6/2026 | Una vulnerabilidad de Cross-Site Scripting (XSS) en el componente /signup_script.php de Ecommerce-Website v1.0 permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload diseñado inyectado en el parámetro eMail. | |
| Modificada | Crítica (9.8) | 1.1% | — | Piwebsolution Export Customers List CSV FOR Woocommerce | 28/11/2022 | 17/6/2026 | El complemento Exportar lista de clientes csv para WooCommerce, usuarios de WordPress csv, exportar lista de clientes invitados de WordPress antes de 2.0.69 no valida los datos cuando los devuelve a un archivo CSV, lo que podría provocar una inyección de CSV. | |
| Modificada | Alta (7.2) | 1.2% | — | Themehigh Checkout Field Editor FOR Woocommerce | 28/11/2022 | 17/6/2026 | El complemento Checkout Field Editor (Checkout Manager) de WooCommerce para WordPress anterior a 1.8.0 deserializa la entrada del usuario proporcionada a través de la configuración, lo que podría permitir a usuarios con privilegios elevados, como el administrador, realizar inyección de objetos PHP cuando hay un… |