Vulnerabilidades

Resumen — últimos 7 días

Vulnerabilidades nuevas3229▲ 673 respecto a la semana anterior
Críticas / altas1508▲ 142 respecto a la semana anterior
Nueva explotación activa (KEV)5▼ 1 respecto a la semana anterior
Sin puntuar (sin CVSS)240▲ 226 respecto a la semana anterior
–

404.472 resultados, ordenados por fecha de publicación (más recientes primero)

CVEEstadoSeveridadEPSS Explotación activaTecnologías afectadasPublicada ▼Modificada Descripción
AplazadaAlta (7.2)0.24%—TransliteratorAI3/10/20266/10/2026
El plugin Transliterator – Multilingual and Multi-script Text Conversion para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del contenido de comentarios mediante el marcador predecible {rstr_keep} en todas las versiones hasta la 2.5.8 incluida, debido a una sanitización…
AplazadaAlta (7.2)0.24%—SeopressAI3/10/20266/10/2026
El plugin SEOPress – AI SEO Plugin & On-site SEO para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del nombre visible del autor en todas las versiones hasta la 10.2 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes. Esto permite a…
AplazadaMedia (6.8)0.24%—Loco TranslateAI3/10/20266/10/2026
El plugin Loco Translate de WordPress anterior a 2.8.9 no sanitiza ni escapa algunos valores de configuración de paquetes antes de volver a mostrarlos en una página de administración, lo que permite a usuarios con la capacidad translator o superior realizar ataques de secuencias de comandos en sitios cruzados (XSS)…
AplazadaMedia (6.8)0.32%—Loco TranslateAI3/10/20266/10/2026
El plugin Loco Translate de WordPress anterior a 2.8.9 no restringe qué rutas de archivo leen sus rutas de archivos de traducción, lo que permite a los usuarios a los que se haya concedido la capacidad translator del plugin Loco Translate de WordPress anterior a 2.8.9 recuperar el contenido de archivos de determinados…
AplazadaAlta (7.2)0.27%—GD Rating SystemAI3/10/20266/10/2026
El plugin GD Rating System para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través de los argumentos de renderizado 'title' y 'url' en la acción AJAX gdrts_live_handler en todas las versiones hasta la 3.7.1 incluida, debido a una sanitización de la entrada y un escape de la…
AplazadaMedia (6.3)0.18%—Unlimited-elements Unlimited Elements FOR ElementorAI3/10/20266/10/2026
El plugin Unlimited Elements for Elementor de WordPress anterior a 2.0.21 no sanitiza ni escapa un parámetro antes de utilizarlo en una sentencia SQL, lo que permite a usuarios con un rol tan bajo como suscriptor realizar ataques de inyección SQL ciega y leer datos arbitrarios de la base de datos. La versión 2.0.18…
AplazadaMedia (5.3)0.22%—Mailchimp FOR WoocommerceAI3/10/20266/10/2026
El plugin Mailchimp for WooCommerce de WordPress anterior a 6.3 no exige autenticación, un nonce ni una comprobación de propiedad antes de actuar sobre el registro de carrito abandonado de un cliente identificado a partir de datos suministrados en la petición, lo que permite a un atacante no autenticado modificar o…
AplazadaMedia (4.3)0.21%—Alttext ALT Text AIAI3/10/20266/10/2026
El plugin Alt Text AI – Automatically generate image alt text for SEO and accessibility para WordPress es vulnerable a la omisión de autorización en todas las versiones hasta la 1.10.41 incluida. Esto se debe a que el plugin no verifica correctamente que un usuario esté autorizado para realizar una acción. Esto…
AplazadaAlta (8.2)0.19%—TillkitAI3/10/20266/10/2026
El plugin TillKit de WordPress anterior a 1.0.5 no exige que se cambie antes de su uso el PIN codificado de forma fija y conocido públicamente de la cuenta TPV con privilegios que crea al activarse, y autentica su endpoint público de inicio de sesión del TPV únicamente con ese PIN, sin ninguna comprobación de…
AplazadaAlta (8.6)0.27%—Saveto Wishlist LiteAI3/10/20266/10/2026
El plugin SaveTo Wishlist Lite de WordPress anterior a 1.1.5 no sanitiza ni escapa parámetros antes de utilizarlos en la cláusula ORDER BY de una consulta SQL, lo que permite a atacantes no autenticados añadir consultas SQL adicionales y extraer información confidencial de la base de datos.
AplazadaAlta (8.8)0.28%—Kubio AI Page BuilderAI3/10/20266/10/2026
El plugin Kubio AI Page Builder de WordPress anterior a 2.9.3 no limita al contexto del editor la ampliación de los elementos HTML permitidos, por lo que el conjunto ampliado también se aplica al filtrar el contenido enviado por usuarios no autenticados, lo que les permite almacenar marcado que el propio script del…
AplazadaMedia (6.8)0.24%—Kubio AI Page BuilderAI3/10/20266/10/2026
El plugin Kubio AI Page Builder de WordPress anterior a 2.9.3 no valida el esquema URI de un valor proporcionado por el usuario antes de mostrarlo como destino de un enlace, lo que permite a usuarios con el rol de colaborador o superior almacenar una carga que se ejecuta en el navegador de cualquiera que siga el…
AplazadaAlta (7.2)0.31%—WelcartAI3/10/20266/10/2026
El plugin Welcart e-Commerce para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través de los parámetros de notificación de liquidación en todas las versiones hasta la 2.12.2 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes. Esto permite…
AplazadaBaja (3.7)0.18%—MetformAI3/10/20266/10/2026
El plugin MetForm de WordPress anterior a 4.3.1 no restringe correctamente el acceso a un archivo de depuración que escribe en la raíz web en cada envío de formulario cuando su integración con HubSpot Forms está habilitada, lo que permite a atacantes no autenticados leer datos de respuesta de la API del servicio…
AplazadaMedia (5.3)0.21%—MetformAI3/10/20266/10/2026
El plugin MetForm de WordPress anterior a 4.3.1 no restringe correctamente el acceso a los datos de envío de formularios, lo que permite a atacantes no autenticados ver la información de quienes enviaron los formularios a través de la API REST.
AplazadaMedia (6.8)0.22%—Unlimited-elements Unlimited Elements FOR ElementorAI3/10/20266/10/2026
El plugin Unlimited Elements for Elementor de WordPress anterior a 2.0.21 no trata correctamente un valor de búsqueda antes de reescribir una sentencia SQL ya preparada, lo que permite a usuarios no autenticados realizar ataques de inyección SQL y recuperar contenido no público cuando una opción relacionada del widget…
AplazadaMedia (6.6)0.42%—Unlimited-elements Unlimited Elements FOR ElementorAI3/10/20266/10/2026
El plugin Unlimited Elements for Elementor de WordPress anterior a 2.0.21 no sanitiza las rutas de archivo dentro de los archivos comprimidos subidos antes de extraerlos, lo que permite a usuarios autenticados con acceso a su función de gestión de recursos (administradores de forma predeterminada, o editores cuando…
AplazadaBaja (3.7)0.18%—Smackcoders WP Ultimate CSV ImporterAI3/10/20266/10/2026
El plugin WP Ultimate CSV Importer de WordPress anterior a 9.2 no utiliza un secreto específico del sitio al derivar la ubicación de almacenamiento de los registros de importación que escribe en el directorio uploads, ni bloquea el acceso directo a ellos, lo que permite a atacantes no autenticados recuperar los datos…
AplazadaBaja (3.5)0.14%—Smackcoders WP Ultimate CSV ImporterAI3/10/20266/10/2026
El plugin WP Ultimate CSV Importer de WordPress anterior a 9.2 no valida correctamente los tipos de archivo contenidos en un archivo comprimido subido ni sanitiza su contenido antes de almacenarlos en una ubicación servida públicamente, lo que permite a usuarios con privilegios elevados, como los administradores,…
AplazadaMedia (4.3)0.16%—Helpdesk Support Ticket System FOR WoocommerceAI3/10/20266/10/2026
El plugin Helpdesk Support Ticket System for WooCommerce para WordPress es vulnerable a una referencia directa insegura a objetos (IDOR) en todas las versiones hasta la 2.1.6 incluida a través del parámetro 'id', debido a la falta de validación de una clave controlada por el usuario. Esto permite a atacantes…
AplazadaAlta (7.5)0.38%—GeodirectoryAI3/10/20266/10/2026
El plugin GeoDirectory para WordPress es vulnerable a inyección SQL a través de las coordenadas de latitud/longitud almacenadas de un anuncio en las versiones hasta la 2.8.186 incluida. Esto se debe a un escape insuficiente y a la ausencia de validación numérica de los valores de coordenadas al guardar un anuncio,…
AplazadaMedia (6.1)0.27%—Calculated Fields FormAI3/10/20266/10/2026
El plugin Calculated Fields Form – AI Form Builder for WordPress – Contact, Payment, Quote, Quiz & More para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) reflejadas basadas en DOM a través del parámetro 'arbitrary (whichever names the admin bound via url.<name>)' en todas las versiones…
AplazadaMedia (6.1)0.31%—Wpclever WPC Smart Quick ViewAI3/10/20266/10/2026
El plugin WPC Smart Quick View for WooCommerce para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) reflejadas a través del parámetro 'woosq-redirect' en todas las versiones hasta la 4.4.0 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes. Esto permite a…
AplazadaAlta (7.5)0.30%—WP 2FAAI3/10/20266/10/2026
El plugin WP 2FA de WordPress anterior a 4.1.0 no invalida un código de un solo uso basado en tiempo una vez utilizado, lo que permite a un atacante que conozca la contraseña de una cuenta y haya observado un código válido dentro de su ventana de validez reutilizarlo y eludir la autenticación de dos factores, incluso…
AplazadaMedia (6.8)0.35%—MPGAI3/10/20266/10/2026
El plugin MPG de WordPress anterior a 4.2.3 no valida que el origen del conjunto de datos proporcionado al importar un proyecto sea una URL remota antes de tratarlo como una ruta del sistema de archivos local y copiar ese archivo en una carpeta de subidas accesible públicamente. Esto permite a usuarios con el rol de…