Vulnerabilidades
Resumen — últimos 7 días
Vulnerabilidades nuevas5186▲ 2386 respecto a la semana anterior
Críticas / altas2903▲ 1517 respecto a la semana anterior
Nueva explotación activa (KEV)7▲ 3 respecto a la semana anterior
Sin puntuar (sin CVSS)222▲ 49 respecto a la semana anterior
1877 resultados, ordenados por fecha de publicación (más recientes primero)
| CVE | Estado | Severidad | EPSS | Explotación activa | Tecnologías afectadas | Publicada ▼ | Modificada | Descripción |
|---|---|---|---|---|---|---|---|---|
| Modificada | Media (6.5) | 0.56% | — | Stylemixthemes Masterstudy LMS | 22/6/2023 | 17/6/2026 | Vulnerabilidad de control de acceso roto en el plugin MasterStudy LMS de StylemixThemes para WordPress (plugin de cursos en línea y educación) en versiones <= 3.0.8, que permite a cualquier usuario autenticado, como los suscriptores, consultar los "Pedidos" del plugin y obtener datos relacionados con el pedido, como… | |
| Modificada | Media (5.4) | 0.38% | — | Stylemixthemes Masterstudy LMS | 22/6/2023 | 17/6/2026 | Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) almacenada autenticada (colaborador o superior) en el plugin StylemixThemes MasterStudy LMS WordPress Plugin – for Online Courses and Education, en las versiones <= 3.0.7. | |
| Modificada | Media (4.8) | 0.37% | — | Flothemes FLO Forms | 20/6/2023 | 17/6/2026 | Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) almacenadas autenticada (administrador o superior) en el plugin Flothemes Flo Forms – Easy Drag & Drop Form Builder en versiones <= 1.0.40. | |
| Modificada | Media (5.4) | 0.51% | — | Bearsthemes Sermons Online | 19/6/2023 | 17/6/2026 | Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) almacenadas que requiere autenticación (contributor o superior) en el plugin Beplus Sermon'e – Sermons Online en las versiones <= 1.0.0. | |
| Modificada | Media (6.1) | 0.38% | — | Everestthemes Arya Multipurpose | 16/6/2023 | 17/6/2026 | Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) reflejado sin autenticación en el tema Arya Multipurpose de Everest Themes, en las versiones <= 1.0.5. | |
| Modificada | Alta (8.8) | 0.27% | — | Hasthemes HT Easy GA4 (google Analytics 4) | 15/6/2023 | 17/6/2026 | Vulnerabilidad de falsificación de petición en sitio cruzado (CSRF) en el plugin HT Easy GA4 (Google Analytics 4) de HasThemes, versiones <= 1.0.6. | |
| Modificada | Media (5.3) | 0.77% | — | Niteothemes CMP | 9/6/2023 | 17/6/2026 | El plugin CMP – Coming Soon & Maintenance para WordPress es vulnerable a una elusión del modo de mantenimiento en las versiones hasta la 4.1.7 inclusive. Un parámetro GET cmp_bypass correcto en la URL (igual al home_url con hash MD5 en la configuración predeterminada) permite a los usuarios visitar un sitio puesto en… | |
| Modificada | Crítica (9.8) | 1.4% | — | Stylemixthemes Ulisting | 7/6/2023 | 17/6/2026 | El plugin uListing para WordPress es vulnerable a la omisión de autorización a través de "wp_route" debido a la falta de comprobaciones de capacidad, y la falta de un nonce de seguridad, en el método "StmListingSingleLayout::import_new_layout" en versiones hasta la v1.6.6 inclusive. Esto hace posible que atacantes no… | |
| Modificada | Crítica (9.8) | 1.4% | — | Stylemixthemes Ulisting | 7/6/2023 | 17/6/2026 | El plugin uListing para WordPress es vulnerable a una omisión de autorización, ya que la mayoría de las acciones y los endpoints son accesibles para usuarios no autenticados, carecen de nonces de seguridad y los datos rara vez se validan. Este problema afecta a las versiones hasta la 1.6.6 inclusive. Esto permite que… | |
| Modificada | Media (5.4) | 0.67% | — | Flothemes FLO Forms | 7/6/2023 | 17/6/2026 | El complemento Flo Forms – Easy Drag & Drop Form Builder para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas mediante el cambio de opciones utilizando la acción AJAX flo_import_forms_options en versiones hasta la 1.0.35 inclusive, debido a una sanitización insuficiente de las… | |
| Modificada | Media (5.3) | 1.0% | — | Stylemixthemes Ulisting | 7/6/2023 | 17/6/2026 | El plugin uListing para WordPress es vulnerable a una omisión de autorización debido a la falta de comprobaciones de capacidades y a la ausencia de un nonce de seguridad en la función UlistingUserRole::save_role_api en las versiones hasta la 1.6.6 inclusive. Esto permite que atacantes no autenticados eliminen de forma… | |
| Modificada | Alta (7.5) | 1.2% | — | Stylemixthemes Ulisting | 7/6/2023 | 17/6/2026 | El plugin uListing para WordPress es vulnerable a cambios arbitrarios de cuentas sin autenticación en las versiones hasta la 1.6.6, inclusive. Esto se debe a la falta de comprobaciones de inicio de sesión en la acción AJAX stm_listing_profile_edit. Esto permite que atacantes no autenticados editen cualquier cuenta del… | |
| Modificada | Media (5.3) | 0.73% | — | Stylemixthemes Ulisting | 7/6/2023 | 17/6/2026 | El plugin uListing para WordPress es vulnerable a una omisión de autorización debido a la falta de comprobaciones de capacidades y de nonce en el método UlistingUserRole::save_role_api en versiones hasta la 1.6.6, inclusive. Esto permite que atacantes no autenticados eliminen o añadan roles y añadan capacidades. | |
| Modificada | Crítica (9.8) | 1.4% | — | Stylemixthemes Ulisting | 7/6/2023 | 17/6/2026 | El complemento Unauthenticated Account Creation para WordPress es vulnerable a la creación de cuentas sin autenticación en las versiones hasta la 1.6.6 inclusive. Esto se debe a que la función de acción AJAX stm_listing_register es accesible y acepta roles sin protección. Esto hace posible que atacantes no… | |
| Modificada | Crítica (9.8) | 1.1% | — | Stylemixthemes Ulisting | 7/6/2023 | 17/6/2026 | El plugin uListing para WordPress es vulnerable a la omisión de autorización a través de Ajax debido a la falta de comprobaciones de capacidades, la falta de validación de entradas y la ausencia de un nonce de seguridad en la acción AJAX stm_update_email_data en versiones hasta la 1.6.6 inclusive. Esto permite que… | |
| Modificada | Alta (7.5) | 1.2% | — | Stylemixthemes Ulisting | 7/6/2023 | 17/6/2026 | El plugin uListing para WordPress es vulnerable a una inyección SQL genérica a través del parámetro 'listing_id' en versiones hasta la 1.6.6 inclusive, debido a un escapado insuficiente del parámetro suministrado por el usuario y a la falta de una preparación suficiente de la consulta SQL existente. Esto permite que… | |
| Modificada | Media (5.3) | 0.95% | — | Stylemixthemes Ulisting | 7/6/2023 | 17/6/2026 | El plugin uListing para WordPress es vulnerable a la omisión de autorización debido a la falta de una comprobación de capacidades en el archivo "ulisting/includes/route.php" de la ruta de la API REST /1/api/ulisting-user/search en las versiones hasta la 1.6.6, inclusive. Esto permite a atacantes no autenticados… | |
| Modificada | Crítica (9.3) | 2.3% | 💥 PoC | Niteothemes CMP | 7/6/2023 | 17/6/2026 | El plugin CMP for WordPress es vulnerable a una omisión de autorización debido a la falta de una comprobación de capacidades en las funciones cmp_get_post_detail(), niteo_export_csv() y cmp_disable_comingsoon_ajax() en las versiones hasta la 3.8.1 incluida. Esto permite que atacantes no autenticados lean entradas,… | |
| Modificada | Media (6.5) | 0.97% | — | Colorlib ActivelloColorlib BonkersColorlib IlldyColorlib Newspaper X+11 | 7/6/2023 | 17/6/2026 | Los temas Brilliance <= 1.2.7, Activello <= 1.4.0 y Newspaper X <= 1.3.1 para WordPress son vulnerables a la activación/desactivación de complementos. Esto se debe a que las funciones 'activello_activate_plugin' y 'activello_deactivate_plugin' del archivo 'inc/welcome-screen/class-activello-welcome.php' carecen de… | |
| Modificada | Crítica (9.8) | 65% | 💥 Exploit | Colorlib ActivelloColorlib BonkersColorlib IlldyColorlib Newspaper X+12 | 7/6/2023 | 17/6/2026 | Los siguientes temas para WordPress son vulnerables a inyecciones de funciones en las versiones hasta e incluyendo Shapely <= 1.2.7, NewsMag <= 2.4.1, Activello <= 1.4.0, Illdy <= 2.1.4, Allegiant <= 1.2.2, Newspaper X <= 1.3.1, Pixova Lite <= 2.0.5, Brilliance <= 1.2.7, MedZone Lite <= 1.2.4, Regina Lite <= 2.0.4,… | |
| Modificada | Alta (8.8) | 1.3% | — | Extendthemes MaterialisExtendthemes Mesmerize | 7/6/2023 | 17/6/2026 | Los temas Mesmerize y Materialis para WordPress son vulnerables a la modificación de opciones por parte de usuarios autenticados en las versiones hasta la 1.6.89 (Mesmerize) y la 1.0.172 (Materialis), inclusive. Esto se debe a que la función 'companion_disable_popup' solo comprueba el nonce mientras envía la entrada… | |
| Modificada | Media (5.4) | 0.43% | — | Accesspressthemes Frontend Post Wordpress Plugin | 5/6/2023 | 17/6/2026 | El plugin Frontend Post para WordPress, en versiones hasta la 2.8.4 incluida, no valida un atributo de uno de sus shortcodes, lo que podría permitir a usuarios con un rol tan bajo como el de colaborador añadir un shortcode malicioso a una página o entrada, que redirigirá a los usuarios a un dominio arbitrario. | |
| Modificada | Crítica (9.8) | 1.2% | — | Timmystudios Keyboard Themes | 1/6/2023 | 17/6/2026 | Keyboard Themes 1.275.1.164 para Android contiene una vulnerabilidad de salto de directorio (dictionary traversal) que permite a aplicaciones no autorizadas sobrescribir archivos arbitrarios en su almacenamiento interno y lograr la ejecución remota de código. | |
| Modificada | Alta (8.8) | 0.27% | — | Stylemixthemes Gdpr Compliance & Cookie Consent | 25/5/2023 | 17/6/2026 | Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en el plugin GDPR Compliance & Cookie Consent de StylemixThemes en las versiones <= 1.2. | |
| Modificada | Alta (8.8) | 0.25% | — | Stylemixthemes Motors - CAR Dealer, Classifieds & Listing | 25/5/2023 | 17/6/2026 | Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en el plugin Motors – Car Dealer, Classifieds & Listing de StylemixThemes, en las versiones <= 1.4.4. |