Vulnerabilidades
Resumen — últimos 7 días
Vulnerabilidades nuevas5216▲ 2468 respecto a la semana anterior
Críticas / altas2932▲ 1606 respecto a la semana anterior
Nueva explotación activa (KEV)11▲ 7 respecto a la semana anterior
Sin puntuar (sin CVSS)218▲ 45 respecto a la semana anterior
1877 resultados, ordenados por fecha de publicación (más recientes primero)
| CVE | Estado | Severidad | EPSS | Explotación activa | Tecnologías afectadas | Publicada ▼ | Modificada | Descripción |
|---|---|---|---|---|---|---|---|---|
| Modificada | Media (6.5) | 0.31% | — | Hasthemes WP Insurance | 27/3/2023 | 17/6/2026 | El plugin de WordPress WP Insurance anterior a la versión 2.1.4 no realiza una comprobación CSRF al activar plugins, lo que podría permitir a atacantes hacer que los administradores con sesión iniciada activen plugins arbitrarios presentes en el blog mediante un ataque CSRF. | |
| Modificada | Media (6.5) | 0.31% | — | Hasthemes WP Film Studio | 27/3/2023 | 17/6/2026 | El plugin de WordPress WP Film Studio anterior a la versión 1.3.5 no comprueba las peticiones CSRF al activar plugins, lo que podría permitir a atacantes hacer que administradores con sesión iniciada activen plugins arbitrarios presentes en el blog mediante un ataque CSRF. | |
| Modificada | Media (4.3) | 0.25% | — | Hasthemes Quickswish | 27/3/2023 | 17/6/2026 | El plugin de WordPress QuickSwish anterior a la versión 1.1.0 no comprueba tokens CSRF al activar plugins, lo que podría permitir a atacantes hacer que administradores con sesión iniciada activen plugins arbitrarios presentes en el blog mediante un ataque CSRF. | |
| Modificada | Media (4.3) | 0.25% | — | Hasthemes WP Education | 27/3/2023 | 17/6/2026 | El plugin de WordPress WP Education anterior a la versión 1.2.7 no comprueba la existencia de tokens CSRF al activar plugins, lo que podría permitir a atacantes hacer que administradores con sesión iniciada activen plugins arbitrarios presentes en el blog mediante un ataque CSRF. | |
| Modificada | Media (4.3) | 0.28% | — | Hasthemes HT Portfolio | 27/3/2023 | 17/6/2026 | El plugin HT Portfolio para WordPress anterior a la versión 1.1.6 no comprueba la existencia de tokens CSRF al activar plugins, lo que podría permitir que atacantes hagan que administradores con sesión iniciada activen plugins arbitrarios presentes en el blog mediante un ataque CSRF. | |
| Modificada | Media (4.3) | 0.26% | — | Hasthemes HT Event | 27/3/2023 | 17/6/2026 | El plugin HT Event para WordPress anterior a la versión 1.4.6 no comprueba tokens CSRF al activar plugins, lo que podría permitir a atacantes hacer que administradores con sesión iniciada activen plugins arbitrarios presentes en el blog mediante un ataque CSRF. | |
| Modificada | Media (4.3) | 0.26% | — | Hasthemes HT Slider FOR Elementor | 27/3/2023 | 17/6/2026 | El plugin HT Slider For Elementor para WordPress, en versiones anteriores a la 1.4.0, no comprueba el token CSRF al activar plugins, lo que podría permitir a atacantes hacer que administradores con sesión iniciada activen plugins arbitrarios presentes en el blog mediante un ataque CSRF. | |
| Modificada | Media (4.3) | 0.28% | — | Hasthemes Contact Form 7 Widget FOR Elementor Page Builder & Gutenberg Blocks | 27/3/2023 | 17/6/2026 | El plugin de WordPress Contact Form 7 Widget For Elementor Page Builder & Gutenberg Blocks anterior a la versión 1.1.6 no comprueba la existencia de un token CSRF al activar plugins, lo que podría permitir a atacantes hacer que administradores con sesión iniciada activen plugins arbitrarios presentes en el blog… | |
| Modificada | Media (6.1) | 0.38% | — | Contempothemes Real Estate 7 | 27/3/2023 | 17/6/2026 | Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) reflejada y sin autenticación en el tema de WordPress Real Estate 7 de Contempoinc, en las versiones <= 3.3.1. | |
| Modificada | Alta (8.8) | 0.87% | — | Accesspressthemes WP Popup Banners | 22/3/2023 | 17/6/2026 | El plugin WP Popup Banners para WordPress, en la versión <= 1.2.5, es vulnerable a una inyección SQL autenticada en el parámetro 'value' de la acción get_popup_data. | |
| Modificada | Media (5.4) | 0.47% | — | Accesspressthemes Smart Logo Showcase Lite | 20/3/2023 | 17/6/2026 | El plugin Responsive Clients Logo Gallery Plugin for WordPress hasta la versión 1.1.9 no valida ni escapa algunos de sus atributos de shortcode antes de mostrarlos de nuevo en una página o entrada donde está insertado el shortcode, lo que podría permitir que usuarios con el rol de colaborador o superior realicen… | |
| Modificada | Media (4.8) | 0.39% | — | Nsthemes Advanced Social Pixel | 20/3/2023 | 17/6/2026 | Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) almacenada y autenticada (administrador o superior) en el plugin Advanced Social Pixel de NsThemes en las versiones <= 2.1.1. | |
| Modificada | Alta (7.5) | 64% | 💥 Exploit | Ithemes Backupbuddy | 13/3/2023 | 17/6/2026 | Vulnerabilidad de limitación inadecuada de una ruta de acceso a un directorio restringido ('Path Traversal') en iThemes BackupBuddy que permite el path traversal. Este problema afecta a BackupBuddy: desde la 8.5.8.0 hasta la 8.7.4.1. | |
| Modificada | Media (5.3) | 1.4% | 💥 Exploit | Niteothemes Coming Soon & Maintenance | 7/3/2023 | 17/6/2026 | El complemento CMP – Coming Soon & Maintenance para WordPress es vulnerable a la exposición de información en las versiones hasta la 4.1.6 incluida, a través de la función cmp_get_post_detail. Esto puede permitir que personas no autenticadas obtengan el contenido de cualquier entrada o página publicada que no esté… | |
| Modificada | Alta (8.8) | 1.1% | — | Upthemes Designfolio-plus | 7/3/2023 | 17/6/2026 | ** NO COMPATIBLE CUANDO SE ASIGNÓ ** Se ha detectado una vulnerabilidad en UpThemes Theme DesignFolio Plus 1.2 en WordPress y clasificada como problemática. Esta vulnerabilidad afecta a una funcionalidad desconocida. La manipulación conduce a una carga sin restricciones. El ataque puede lanzarse de forma remota. El… | |
| Modificada | Media (5.4) | 0.23% | — | Hasthemes Woolentor - Woocommerce Elementor Addons + Builder | 1/3/2023 | 17/6/2026 | Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en el plugin ShopLentor de HasThemes en versiones <= 2.5.1, que permite modificar la configuración del plugin. | |
| Modificada | Media (4.3) | 0.55% | — | Apusthemes WP Private Messaging | 21/2/2023 | 17/6/2026 | El plugin de WordPress WP Private Message (incluido con el tema Superio como plugin obligatorio) anterior a la versión 1.0.6 no comprueba que los mensajes privados a los que se accede pertenezcan al usuario que realiza las solicitudes. Esto permite que cualquier usuario autenticado acceda a los mensajes privados de… | |
| Modificada | Crítica (9.8) | 3.3% | — | Hasthemes Shoplentor | 21/2/2023 | 17/6/2026 | El complemento de WordPress ShopLentor anterior a la versión 2.5.4 deserializa datos introducidos por el usuario procedentes de cookies para hacer un seguimiento de los productos vistos y de los datos del usuario, lo que podría dar lugar a una inyección de objetos PHP. | |
| Modificada | Media (5.4) | 0.53% | — | Hasthemes Shoplentor | 21/2/2023 | 17/6/2026 | El plugin de WordPress ShopLentor anterior a la versión 2.5.4 no valida ni escapa algunas de sus opciones de bloque antes de mostrarlas de nuevo en una página o entrada en la que se incrusta el bloque, lo que podría permitir que usuarios con el rol de colaborador o superior realicen ataques de secuencias de comandos… | |
| Modificada | Media (6.1) | 0.86% | 💥 Exploit | Ithemes Backupbuddy | 21/2/2023 | 17/6/2026 | El plugin de WordPress BackupBuddy anterior a la versión 8.8.3 no sanitiza ni escapa algunos parámetros antes de devolverlos en distintos lugares, lo que provoca secuencias de comandos en sitios cruzados (XSS) reflejadas | |
| Modificada | Media (4.3) | 0.23% | — | Hasthemes Extensions FOR CF7 | 17/2/2023 | 17/6/2026 | Una vulnerabilidad de Cross-Site Request Forgery (CSRF) en las versiones HasThemes Extensions For CF7 plugin <= 2.0.8 conduce a la activación arbitraria del complemento. | |
| Modificada | Media (5.4) | 0.60% | — | Extendthemes Materialis Companion | 6/2/2023 | 17/6/2026 | El plugin Materialis Companion para WordPress, en versiones anteriores a la 1.3.40, no valida ni escapa algunos de sus atributos de shortcode antes de mostrarlos de nuevo en la página, lo que podría permitir que usuarios con un rol tan bajo como el de colaborador realicen ataques de secuencias de comandos en sitios… | |
| Modificada | Media (5.4) | 0.65% | — | Machothemes Strong Testimonials | 6/2/2023 | 17/6/2026 | El plugin Strong Testimonials para WordPress, en versiones anteriores a la 3.0.3, no valida ni escapa algunos de sus atributos de shortcode antes de mostrarlos de nuevo en la página, lo que podría permitir que usuarios con un rol tan bajo como el de colaborador realicen ataques de secuencias de comandos en sitios… | |
| Analizada | Media (5.4) | 0.53% | — | Machothemes CPO Companion | 30/1/2023 | 17/6/2026 | El complemento CPO Companion de WordPress anterior a 1.1.0 no valida ni escapa algunos de sus atributos de código corto antes de devolverlos a la página, lo que podría permitir a los usuarios con un rol tan bajo como colaborador realizar ataques de cross-site scripting almacenado que podrían usarse contra usuarios con… | |
| Modificada | Media (5.4) | 1.0% | — | Bold-themes Bold Timeline Lite | 30/1/2023 | 17/6/2026 | El complemento Bold Timeline Lite de WordPress anterior a 1.1.5 no valida ni escapa algunos de sus atributos de código corto antes de devolverlos a la página, lo que podría permitir a los usuarios con un rol tan bajo como colaborador realizar ataques de cross-site scripting almacenado que podrían ser utilizados contra… |