Vulnerabilidades
Resumen — últimos 7 días
Vulnerabilidades nuevas3208▲ 655 respecto a la semana anterior
Críticas / altas1506▲ 142 respecto a la semana anterior
Nueva explotación activa (KEV)5▼ 1 respecto a la semana anterior
Sin puntuar (sin CVSS)240▲ 226 respecto a la semana anterior
404.466 resultados, ordenados por fecha de publicación (más recientes primero)
| CVE | Estado | Severidad | EPSS | Explotación activa | Tecnologías afectadas | Publicada ▼ | Modificada | Descripción |
|---|---|---|---|---|---|---|---|---|
| Aplazada | Alta (7.5) | 0.33% | — | WP Visitor StatisticsAI | 3/10/2026 | 6/10/2026 | El plugin WP Visitor Statistics (Real Time Traffic) para WordPress es vulnerable a inyección SQL genérica a través del parámetro 'fullRef' en todas las versiones hasta la 8.7 incluida, debido a un escape insuficiente del parámetro proporcionado por el usuario y a la falta de una preparación suficiente de la consulta… | |
| Aplazada | Alta (8.1) | 0.29% | — | Nelio ContentAI | 3/10/2026 | 6/10/2026 | El plugin Nelio Content – Editorial Calendar & Social Media Auto-Posting para WordPress es vulnerable a la omisión de autorización en todas las versiones hasta la 4.5.0 incluida. Esto se debe a que el plugin no verifica correctamente que un usuario esté autorizado para realizar una acción. Esto permite a atacantes… | |
| Aplazada | Media (6.1) | 0.22% | — | Wpfront Notification BARAI | 3/10/2026 | 6/10/2026 | El plugin WPFront Notification Bar para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) reflejadas en las versiones hasta la 3.5.1 incluida. Esto se debe a que la ruta de salida del registro de depuración (write_debug_logs) refleja el valor en bruto de $_SERVER['REQUEST_URI'] mediante… | |
| Aplazada | Alta (7.2) | 0.24% | — | Jamesward WP Mail CatcherAI | 3/10/2026 | 6/10/2026 | El plugin Mail logging – WP Mail Catcher para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del mensaje de error 'wp_mail_failed' de PHPMailer en todas las versiones hasta la 2.1.12 incluida, debido a una sanitización de la entrada y un escape de la salida… | |
| Aplazada | Media (6.1) | 0.23% | — | 10web Photo GalleryAI | 3/10/2026 | 6/10/2026 | El plugin Photo Gallery by 10Web – Mobile-Friendly Image Gallery para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) reflejadas a través del parámetro 'thumb_url' en todas las versiones hasta la 1.8.46 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes.… | |
| Aplazada | Crítica (9.1) | 0.88% | — | Vikappointments Services Booking CalendarAI | 3/10/2026 | 6/10/2026 | El plugin VikAppointments Services Booking Calendar para WordPress es vulnerable a la eliminación arbitraria de archivos debido a una validación insuficiente de la ruta de archivo en la función extract en todas las versiones hasta la 1.2.21 incluida. Esto permite a atacantes no autenticados eliminar archivos… | |
| Aplazada | Alta (7.5) | 0.70% | — | Themewinter WpcafeAI | 3/10/2026 | 6/10/2026 | El plugin WPCafe – Restaurant Menu, Online Food Ordering & Table Booking System para WordPress es vulnerable a la inclusión de archivos locales (LFI) en todas las versiones hasta la 3.0.18 incluida a través de la función (template scope). Esto permite a atacantes autenticados, con acceso de nivel colaborador o… | |
| Aplazada | Alta (8.8) | 0.37% | — | Smart ManagerAI | 3/10/2026 | 6/10/2026 | El plugin Smart Manager – Advanced WooCommerce Bulk Edit & Inventory Management para WordPress es vulnerable a inyección SQL genérica a través del parámetro 'access_privileges' en todas las versiones hasta la 8.97.0 incluida, debido a un escape insuficiente del parámetro proporcionado por el usuario y a la falta de… | |
| Aplazada | Media (6.4) | 0.19% | — | Responsive PlusAI | 3/10/2026 | 6/10/2026 | El plugin Responsive Plus – Elementor Templates & Starter Sites para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través de atributos de shortcode en todas las versiones hasta la 3.5.3 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes.… | |
| Aplazada | Media (5.3) | 0.36% | — | Themewinter WpcafeAI | 3/10/2026 | 6/10/2026 | El plugin WPCafe – Restaurant Menu, Online Food Ordering & Table Booking System para WordPress es vulnerable a la omisión de autorización en todas las versiones hasta la 3.0.19 incluida. Esto se debe a que el plugin no verifica correctamente que un usuario esté autorizado para realizar una acción. Esto permite a… | |
| Aplazada | Media (6.1) | 0.21% | — | Wpclever WPC Estimated Delivery DateAI | 3/10/2026 | 6/10/2026 | El plugin WPC Estimated Delivery Date for WooCommerce para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) reflejadas a través del parámetro 'rule_data' en todas las versiones hasta la 4.0.1 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes. Esto permite… | |
| Aplazada | Media (5.4) | 0.27% | — | Wpmet WP Ultimate ReviewAI | 3/10/2026 | 6/10/2026 | El plugin The WP Ultimate Review para WordPress es vulnerable a la ejecución arbitraria de shortcodes en todas las versiones hasta la 2.4.3 incluida. Esto se debe a que el software permite a los usuarios ejecutar una acción que no valida correctamente un valor antes de ejecutar do_shortcode. Esto permite a atacantes… | |
| Aplazada | Media (5.4) | 0.22% | — | Wpmobile APPAI | 3/10/2026 | 6/10/2026 | El plugin WPMobile.App – Android and iOS App Builder para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del parámetro 'REQUEST_URI (path segment after /android_json/search/)' en todas las versiones hasta la 11.84 incluida, debido a una sanitización de la entrada y un… | |
| Aplazada | Media (6.5) | 0.28% | — | Wpmet WP Ultimate ReviewAI | 3/10/2026 | 6/10/2026 | El plugin The WP Ultimate Review para WordPress es vulnerable a la ejecución arbitraria de shortcodes en todas las versiones hasta la 2.4.3 incluida. Esto se debe a que el software permite a los usuarios ejecutar una acción que no valida correctamente un valor antes de ejecutar do_shortcode. Esto permite a atacantes… | |
| Aplazada | Media (6.4) | 0.19% | — | Wpmet WP Social Login AND Register Social CounterAI | 3/10/2026 | 6/10/2026 | El plugin Wp Social Login and Register Social Counter para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del atributo alt del avatar mediante la escritura arbitraria de metadatos de usuario en todas las versiones hasta la 3.2.1 incluida, debido a una sanitización de la… | |
| Aplazada | Alta (7.2) | 0.27% | — | Wp-buy Visitor Traffic Real Time StatisticsAI | 3/10/2026 | 6/10/2026 | El plugin Visitor Traffic Real Time Statistics para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas basadas en DOM a través de la cabecera HTTP 'X-Real-IP' en todas las versiones hasta la 8.16 incluida, debido a una sanitización de la entrada y un escape de la salida… | |
| Aplazada | Alta (7.5) | 0.37% | — | Simple-membership-plugin Simple MembershipAI | 3/10/2026 | 6/10/2026 | El plugin Simple Membership para WordPress es vulnerable a la modificación no autorizada de datos y a la divulgación de información confidencial en las versiones hasta la 4.8.3 incluida a través de los endpoints resend-activation y email-activation. Los endpoints se despachan desde… | |
| Aplazada | Baja (3.7) | 0.17% | — | Genetechsolutions PIE RegisterAI | 3/10/2026 | 6/10/2026 | El plugin Pie Register de WordPress anterior a 3.8.4.14 no restringe el acceso a un informe de códigos de invitación, lo que permite a visitantes no autenticados que conozcan un código de invitación válido obtener el nombre de usuario y la dirección de correo electrónico de todos los usuarios que se registraron con… | |
| Aplazada | Alta (7.2) | 0.26% | — | Strong TestimonialsAI | 3/10/2026 | 6/10/2026 | El plugin Strong Testimonials para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del campo personalizado 'platform_user_photo' en todas las versiones hasta la 3.3.11 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes. Esto permite a… | |
| Aplazada | Alta (7.2) | 0.24% | — | TransliteratorAI | 3/10/2026 | 6/10/2026 | El plugin Transliterator – Multilingual and Multi-script Text Conversion para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del contenido de comentarios mediante el marcador predecible {rstr_keep} en todas las versiones hasta la 2.5.8 incluida, debido a una sanitización… | |
| Aplazada | Alta (7.2) | 0.24% | — | SeopressAI | 3/10/2026 | 6/10/2026 | El plugin SEOPress – AI SEO Plugin & On-site SEO para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del nombre visible del autor en todas las versiones hasta la 10.2 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes. Esto permite a… | |
| Aplazada | Media (6.8) | 0.24% | — | Loco TranslateAI | 3/10/2026 | 6/10/2026 | El plugin Loco Translate de WordPress anterior a 2.8.9 no sanitiza ni escapa algunos valores de configuración de paquetes antes de volver a mostrarlos en una página de administración, lo que permite a usuarios con la capacidad translator o superior realizar ataques de secuencias de comandos en sitios cruzados (XSS)… | |
| Aplazada | Media (6.8) | 0.32% | — | Loco TranslateAI | 3/10/2026 | 6/10/2026 | El plugin Loco Translate de WordPress anterior a 2.8.9 no restringe qué rutas de archivo leen sus rutas de archivos de traducción, lo que permite a los usuarios a los que se haya concedido la capacidad translator del plugin Loco Translate de WordPress anterior a 2.8.9 recuperar el contenido de archivos de determinados… | |
| Aplazada | Alta (7.2) | 0.27% | — | GD Rating SystemAI | 3/10/2026 | 6/10/2026 | El plugin GD Rating System para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través de los argumentos de renderizado 'title' y 'url' en la acción AJAX gdrts_live_handler en todas las versiones hasta la 3.7.1 incluida, debido a una sanitización de la entrada y un escape de la… | |
| Aplazada | Media (6.3) | 0.18% | — | Unlimited-elements Unlimited Elements FOR ElementorAI | 3/10/2026 | 6/10/2026 | El plugin Unlimited Elements for Elementor de WordPress anterior a 2.0.21 no sanitiza ni escapa un parámetro antes de utilizarlo en una sentencia SQL, lo que permite a usuarios con un rol tan bajo como suscriptor realizar ataques de inyección SQL ciega y leer datos arbitrarios de la base de datos. La versión 2.0.18… |