Vulnerabilidades
Resumen — últimos 7 días
Vulnerabilidades nuevas3229▲ 667 respecto a la semana anterior
Críticas / altas1519▲ 158 respecto a la semana anterior
Nueva explotación activa (KEV)5▼ 1 respecto a la semana anterior
Sin puntuar (sin CVSS)241▲ 229 respecto a la semana anterior
404.509 resultados, ordenados por fecha de publicación (más recientes primero)
| CVE | Estado | Severidad | EPSS | Explotación activa | Tecnologías afectadas | Publicada ▼ | Modificada | Descripción |
|---|---|---|---|---|---|---|---|---|
| Aplazada | Alta (8.8) | 0.37% | — | Smart ManagerAI | 3/10/2026 | 6/10/2026 | El plugin Smart Manager – Advanced WooCommerce Bulk Edit & Inventory Management para WordPress es vulnerable a inyección SQL genérica a través del parámetro 'access_privileges' en todas las versiones hasta la 8.97.0 incluida, debido a un escape insuficiente del parámetro proporcionado por el usuario y a la falta de… | |
| Aplazada | Media (6.4) | 0.19% | — | Responsive PlusAI | 3/10/2026 | 6/10/2026 | El plugin Responsive Plus – Elementor Templates & Starter Sites para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través de atributos de shortcode en todas las versiones hasta la 3.5.3 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes.… | |
| Aplazada | Media (5.3) | 0.36% | — | Themewinter WpcafeAI | 3/10/2026 | 6/10/2026 | El plugin WPCafe – Restaurant Menu, Online Food Ordering & Table Booking System para WordPress es vulnerable a la omisión de autorización en todas las versiones hasta la 3.0.19 incluida. Esto se debe a que el plugin no verifica correctamente que un usuario esté autorizado para realizar una acción. Esto permite a… | |
| Aplazada | Media (6.1) | 0.21% | — | Wpclever WPC Estimated Delivery DateAI | 3/10/2026 | 6/10/2026 | El plugin WPC Estimated Delivery Date for WooCommerce para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) reflejadas a través del parámetro 'rule_data' en todas las versiones hasta la 4.0.1 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes. Esto permite… | |
| Aplazada | Media (5.4) | 0.27% | — | Wpmet WP Ultimate ReviewAI | 3/10/2026 | 6/10/2026 | El plugin The WP Ultimate Review para WordPress es vulnerable a la ejecución arbitraria de shortcodes en todas las versiones hasta la 2.4.3 incluida. Esto se debe a que el software permite a los usuarios ejecutar una acción que no valida correctamente un valor antes de ejecutar do_shortcode. Esto permite a atacantes… | |
| Aplazada | Media (5.4) | 0.22% | — | Wpmobile APPAI | 3/10/2026 | 6/10/2026 | El plugin WPMobile.App – Android and iOS App Builder para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del parámetro 'REQUEST_URI (path segment after /android_json/search/)' en todas las versiones hasta la 11.84 incluida, debido a una sanitización de la entrada y un… | |
| Aplazada | Media (6.5) | 0.28% | — | Wpmet WP Ultimate ReviewAI | 3/10/2026 | 6/10/2026 | El plugin The WP Ultimate Review para WordPress es vulnerable a la ejecución arbitraria de shortcodes en todas las versiones hasta la 2.4.3 incluida. Esto se debe a que el software permite a los usuarios ejecutar una acción que no valida correctamente un valor antes de ejecutar do_shortcode. Esto permite a atacantes… | |
| Aplazada | Media (6.4) | 0.19% | — | Wpmet WP Social Login AND Register Social CounterAI | 3/10/2026 | 6/10/2026 | El plugin Wp Social Login and Register Social Counter para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del atributo alt del avatar mediante la escritura arbitraria de metadatos de usuario en todas las versiones hasta la 3.2.1 incluida, debido a una sanitización de la… | |
| Aplazada | Alta (7.2) | 0.27% | — | Wp-buy Visitor Traffic Real Time StatisticsAI | 3/10/2026 | 6/10/2026 | El plugin Visitor Traffic Real Time Statistics para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas basadas en DOM a través de la cabecera HTTP 'X-Real-IP' en todas las versiones hasta la 8.16 incluida, debido a una sanitización de la entrada y un escape de la salida… | |
| Aplazada | Alta (7.5) | 0.37% | — | Simple-membership-plugin Simple MembershipAI | 3/10/2026 | 6/10/2026 | El plugin Simple Membership para WordPress es vulnerable a la modificación no autorizada de datos y a la divulgación de información confidencial en las versiones hasta la 4.8.3 incluida a través de los endpoints resend-activation y email-activation. Los endpoints se despachan desde… | |
| Aplazada | Baja (3.7) | 0.17% | — | Genetechsolutions PIE RegisterAI | 3/10/2026 | 6/10/2026 | El plugin Pie Register de WordPress anterior a 3.8.4.14 no restringe el acceso a un informe de códigos de invitación, lo que permite a visitantes no autenticados que conozcan un código de invitación válido obtener el nombre de usuario y la dirección de correo electrónico de todos los usuarios que se registraron con… | |
| Aplazada | Alta (7.2) | 0.26% | — | Strong TestimonialsAI | 3/10/2026 | 6/10/2026 | El plugin Strong Testimonials para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del campo personalizado 'platform_user_photo' en todas las versiones hasta la 3.3.11 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes. Esto permite a… | |
| Aplazada | Alta (7.2) | 0.24% | — | TransliteratorAI | 3/10/2026 | 6/10/2026 | El plugin Transliterator – Multilingual and Multi-script Text Conversion para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del contenido de comentarios mediante el marcador predecible {rstr_keep} en todas las versiones hasta la 2.5.8 incluida, debido a una sanitización… | |
| Aplazada | Alta (7.2) | 0.24% | — | SeopressAI | 3/10/2026 | 6/10/2026 | El plugin SEOPress – AI SEO Plugin & On-site SEO para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del nombre visible del autor en todas las versiones hasta la 10.2 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes. Esto permite a… | |
| Aplazada | Media (6.8) | 0.24% | — | Loco TranslateAI | 3/10/2026 | 6/10/2026 | El plugin Loco Translate de WordPress anterior a 2.8.9 no sanitiza ni escapa algunos valores de configuración de paquetes antes de volver a mostrarlos en una página de administración, lo que permite a usuarios con la capacidad translator o superior realizar ataques de secuencias de comandos en sitios cruzados (XSS)… | |
| Aplazada | Media (6.8) | 0.32% | — | Loco TranslateAI | 3/10/2026 | 6/10/2026 | El plugin Loco Translate de WordPress anterior a 2.8.9 no restringe qué rutas de archivo leen sus rutas de archivos de traducción, lo que permite a los usuarios a los que se haya concedido la capacidad translator del plugin Loco Translate de WordPress anterior a 2.8.9 recuperar el contenido de archivos de determinados… | |
| Aplazada | Alta (7.2) | 0.27% | — | GD Rating SystemAI | 3/10/2026 | 6/10/2026 | El plugin GD Rating System para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través de los argumentos de renderizado 'title' y 'url' en la acción AJAX gdrts_live_handler en todas las versiones hasta la 3.7.1 incluida, debido a una sanitización de la entrada y un escape de la… | |
| Aplazada | Media (6.3) | 0.18% | — | Unlimited-elements Unlimited Elements FOR ElementorAI | 3/10/2026 | 6/10/2026 | El plugin Unlimited Elements for Elementor de WordPress anterior a 2.0.21 no sanitiza ni escapa un parámetro antes de utilizarlo en una sentencia SQL, lo que permite a usuarios con un rol tan bajo como suscriptor realizar ataques de inyección SQL ciega y leer datos arbitrarios de la base de datos. La versión 2.0.18… | |
| Aplazada | Media (5.3) | 0.22% | — | Mailchimp FOR WoocommerceAI | 3/10/2026 | 6/10/2026 | El plugin Mailchimp for WooCommerce de WordPress anterior a 6.3 no exige autenticación, un nonce ni una comprobación de propiedad antes de actuar sobre el registro de carrito abandonado de un cliente identificado a partir de datos suministrados en la petición, lo que permite a un atacante no autenticado modificar o… | |
| Aplazada | Media (4.3) | 0.21% | — | Alttext ALT Text AIAI | 3/10/2026 | 6/10/2026 | El plugin Alt Text AI – Automatically generate image alt text for SEO and accessibility para WordPress es vulnerable a la omisión de autorización en todas las versiones hasta la 1.10.41 incluida. Esto se debe a que el plugin no verifica correctamente que un usuario esté autorizado para realizar una acción. Esto… | |
| Aplazada | Alta (8.2) | 0.19% | — | TillkitAI | 3/10/2026 | 6/10/2026 | El plugin TillKit de WordPress anterior a 1.0.5 no exige que se cambie antes de su uso el PIN codificado de forma fija y conocido públicamente de la cuenta TPV con privilegios que crea al activarse, y autentica su endpoint público de inicio de sesión del TPV únicamente con ese PIN, sin ninguna comprobación de… | |
| Aplazada | Alta (8.6) | 0.27% | — | Saveto Wishlist LiteAI | 3/10/2026 | 6/10/2026 | El plugin SaveTo Wishlist Lite de WordPress anterior a 1.1.5 no sanitiza ni escapa parámetros antes de utilizarlos en la cláusula ORDER BY de una consulta SQL, lo que permite a atacantes no autenticados añadir consultas SQL adicionales y extraer información confidencial de la base de datos. | |
| Aplazada | Alta (8.8) | 0.28% | — | Kubio AI Page BuilderAI | 3/10/2026 | 6/10/2026 | El plugin Kubio AI Page Builder de WordPress anterior a 2.9.3 no limita al contexto del editor la ampliación de los elementos HTML permitidos, por lo que el conjunto ampliado también se aplica al filtrar el contenido enviado por usuarios no autenticados, lo que les permite almacenar marcado que el propio script del… | |
| Aplazada | Media (6.8) | 0.24% | — | Kubio AI Page BuilderAI | 3/10/2026 | 6/10/2026 | El plugin Kubio AI Page Builder de WordPress anterior a 2.9.3 no valida el esquema URI de un valor proporcionado por el usuario antes de mostrarlo como destino de un enlace, lo que permite a usuarios con el rol de colaborador o superior almacenar una carga que se ejecuta en el navegador de cualquiera que siga el… | |
| Aplazada | Alta (7.2) | 0.31% | — | WelcartAI | 3/10/2026 | 6/10/2026 | El plugin Welcart e-Commerce para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través de los parámetros de notificación de liquidación en todas las versiones hasta la 2.12.2 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes. Esto permite… |