Vulnerabilidades
Resumen — últimos 7 días
Vulnerabilidades nuevas5243▲ 2495 respecto a la semana anterior
Críticas / altas2940▲ 1611 respecto a la semana anterior
Nueva explotación activa (KEV)11▲ 7 respecto a la semana anterior
Sin puntuar (sin CVSS)219▲ 45 respecto a la semana anterior
1877 resultados, ordenados por fecha de publicación (más recientes primero)
| CVE | Estado | Severidad | EPSS | Explotación activa | Tecnologías afectadas | Publicada ▼ | Modificada | Descripción |
|---|---|---|---|---|---|---|---|---|
| Modificada | Crítica (9.8) | 1.7% | — | Flothemes Flo-launch | 25/4/2022 | 17/6/2026 | El plugin flo-launch de WordPress versiones anteriores a 2.4.1, inyecta código en el archivo wp-config.php cuando se crea un sitio clonado, permitiendo a cualquier atacante iniciar la instalación de un nuevo sitio al establecer la cookie flo_custom_table_prefix a un valor arbitrario | |
| Modificada | Alta (8.1) | 0.48% | — | Accesspressthemes Access Demo Importer | 18/4/2022 | 17/6/2026 | Una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en Access Demo Importer versiones anteriores a 1.0.7 incluyéndola en WordPress, permite a un atacante restablecer todos los datos (posts / páginas / medios) | |
| Modificada | Media (6.5) | 0.49% | — | Accesspressthemes Access Demo Importer | 18/4/2022 | 17/6/2026 | Una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en Access Demo Importer versiones anteriores a 1.0.7 incluyéndola en WordPress, permite a un atacante activar cualquier plugin instalado | |
| Modificada | Media (4.3) | 0.45% | — | Stylemixthemes Eroom - Zoom Meetings & Webinar | 11/4/2022 | 17/6/2026 | Una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en StylemixThemes eRoom - Zoom Meetings & Webinar (plugin de WordPress) versiones anteriores a 1.3.8 incluyéndola, permite una eliminación de la caché | |
| Modificada | Media (4.3) | 0.45% | — | Stylemixthemes Eroom - Zoom Meetings & Webinar | 11/4/2022 | 17/6/2026 | Una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) in StylemixThemes eRoom - Zoom Meetings & Webinar (WordPress plugin) versiones anteriores a 1.3.7 incluyéndola, permite a un atacante sincronizar con Zoom Meetings | |
| Modificada | Alta (7.2) | 1.5% | — | Secondlinethemes Podcast Importer Secondline | 11/4/2022 | 17/6/2026 | El plugin Podcast Importer SecondLine de WordPress versiones anteriores a 1.3.8, no sanea ni escapa apropiadamente de algunos datos importados, lo que podría permitir llevar a cabo ataques de inyección SQL al importar un archivo de podcast malicioso | |
| Modificada | Alta (7.5) | 1.2% | — | Nsthemes NS Watermark FOR Woocommerce | 11/4/2022 | 17/6/2026 | Un usuario no privilegiado podría usar la funcionalidad del plugin NS WooCommerce Watermark de WordPress versiones hasta 2.11.3, para cargar imágenes que ocultan malware, por ejemplo, desde el paso de dominios maliciosos para ocultar su rastro, haciéndolas pasar por el dominio vulnerable | |
| Modificada | Media (6.1) | 1.1% | — | Apusthemes Careerup | 4/4/2022 | 17/6/2026 | Se presenta una vulnerabilidad de tipo Cross-Site Scripting (XSS) Reflejado sin autenticación en el tema CareerUp Careerup de WordPress versiones hasta 2.3.1, por medio de los parámetros filter | |
| Modificada | Media (6.1) | 0.87% | — | Yithemes Woocommerce Affiliate | 28/3/2022 | 17/6/2026 | El plugin WooCommerce Affiliate Plugin de WordPress versiones anteriores a 4.16.4.5, no presenta comprobaciones de autorización y de tipo CSRF en un manejador de acción específico, así como no sanea su configuración, lo que permite a un atacante no autenticado inyectar cargas útiles de tipo XSS maliciosas en la página… | |
| Modificada | Media (6.1) | 0.87% | — | Accesspressthemes AP Mega Menu | 21/3/2022 | 17/6/2026 | El plugin Mega Menu de WordPress versiones anteriores a 3.0.8, no sanea y escapa del parámetro _wpnonce antes de devolverlo a la página de administración, conllevando a un problema de tipo Cross-Site Scripting Reflejado | |
| Modificada | Crítica (9.8) | 85% | 💥 Exploit | Stylemixthemes Masterstudy LMS | 7/3/2022 | 17/6/2026 | El plugin MasterStudy LMS de WordPress versiones anteriores a 2.7.6, no comprueba algunos parámetros dados cuando es registrada una nueva cuenta, permitiendo a usuarios no autenticados registrarse como administradores | |
| Modificada | Alta (7.2) | 1.4% | — | Catchplugins Catch Themes Demo Import | 7/3/2022 | 17/6/2026 | El plugin Catch Themes Demo Import de WordPress versiones anteriores a 2.1.1, no comprueba uno de los archivos a importar, lo que podría permitir a un administrador con alto nivel de privacidad subir un archivo PHP arbitrario y conseguir una RCE incluso en el caso de un blog reforzado (es decir, las constantes… | |
| Modificada | Media (6.1) | 0.87% | — | Accesspressthemes AP Custom Testimonial | 28/2/2022 | 17/6/2026 | El plugin Testimonial WordPress Plugin de WordPress versiones anteriores a 1.4.7, no sanea y escapa el parámetro id antes de devolverlo en un atributo, conllevando a un ataque de tipo cross-Site Scripting Reflejado. | |
| Modificada | Alta (7.2) | 1.5% | — | Accesspressthemes AP Custom Testimonial | 28/2/2022 | 17/6/2026 | El plugin Testimonial de WordPress versiones anteriores a 1.4.7, no comprueba ni escapa el parámetro id antes de usarlo en una sentencia SQL cuando es recuperado un testimonio para editarlo, conllevando a una Inyección SQL | |
| Modificada | Media (6.5) | 3.0% | — | Bold-themes Cost Calculator | 28/2/2022 | 17/6/2026 | El plugin de Cost Calculator de WordPress hasta la versión 1.6 permite a los usuarios autentificados (Contributor+ en las versiones anteriores a la versión 1.5, y Admin+ en las versiones anteriores o iguales a la versión 1.6) realizar el path traversal y la inclusión de archivos PHP locales en los servidores web de… | |
| Modificada | Media (5.4) | 0.60% | — | Machothemes Image Photo Gallery Final Tiles Grid | 21/2/2022 | 17/6/2026 | El plugin Image Photo Gallery Final Tiles Grid de WordPress versiones anteriores a 3.5.3, no sanea ni escapa del campo Description cuando es editada una galería, permitiendo a usuarios con un rol tan bajo como el de colaborador llevar a cabo ataques de tipo Cross-Site Scripting contra otros usuarios que tengan acceso… | |
| Modificada | Crítica (9.8) | 18% | — | Accesspressthemes AccessbuddyAccesspressthemes Accesspress Anonymous PostAccesspressthemes Accesspress BasicAccesspressthemes Accesspress Custom CSS+89 | 21/2/2022 | 17/6/2026 | Numerosos plugins y temas del proveedor de AccessPress Themes (también se conoce como Access Keys) han sido perjudicados debido a que su sitio web ha sido comprometido. Sólo están afectados los plugins y temas descargados por medio del sitio web del proveedor, no así los alojados en wordpress.org. Sin embargo, todos… | |
| Modificada | Media (5.3) | 2.3% | 💥 Exploit | Niteothemes CMP | 14/2/2022 | 17/6/2026 | El plugin CMP de WordPress versiones anteriores a 4.0.19, permite que cualquier usuario, incluso sin haber iniciado sesión, pueda cambiar arbitrariamente el diseño de la página "coming soon" | |
| Modificada | Media (6.1) | 1.5% | — | Accesspressthemes Form Store TO DB | 14/2/2022 | 17/6/2026 | El plugin Form Store to DB de WordPress versiones anteriores a 1.1.1, no sanea ni escapa las claves de los parámetros antes de devolverlos a la entrada creada, permitiendo a un atacante no autenticado llevar a cabo ataques de tipo Cross-Site Scripting contra el administrador | |
| Modificada | Media (6.5) | 3.1% | 💥 Exploit | Thinkupthemes Responsive Vector Maps | 7/2/2022 | 17/6/2026 | El plugin RVM de WordPress versiones anteriores a 6.4.2, no presenta una autorización apropiada, comprobaciones de tipo CSRF y comprobación del parámetro rvm_upload_regions_file_path en la acción AJAX rvm_import_regions, lo que permite a cualquier usuario autenticado, como el suscriptor, leer archivos arbitrarios en… | |
| Modificada | Alta (7.2) | 1.3% | — | Accesspressthemes WP Cookie User Info | 24/1/2022 | 17/6/2026 | El plugin Cookie Notification Plugin para WordPress versiones anteriores a 1.0.9, no sanea o escapa del parámetro id GET antes de usarlo en una sentencia SQL, cuando recupera la configuración para editar en el panel de administración, conllevando a una inyección SQL autenticada | |
| Modificada | Alta (8.1) | 1.1% | — | Hashthemes Demo Importer | 1/11/2021 | 17/6/2026 | El plugin Hashthemes Demo Importer para WordPress versiones anteriores a 1.1.1 incluyéndola, contenía varias funciones AJAX que dependían de un nonce que era visible para todos los usuarios conectados para el control de acceso, permitiéndoles ejecutar una función que truncaba casi todas las tablas de la base de datos… | |
| Modificada | Alta (7.2) | 56% | 💥 Exploit | Catchplugins Catch Themes Demo Import | 21/10/2021 | 17/6/2026 | El plugin Catch Themes Demo Import de WordPress es vulnerable a una carga de archivos arbitrarios por medio de la funcionalidad import que se encuentra en el archivo ~/inc/CatchThemesDemoImport.php, en versiones hasta la 1.7 incluyéndola, debido a una comprobación insuficiente del tipo de archivo. Esto hace posible… | |
| Modificada | Media (5.7) | 0.42% | — | Catchplugins Catch Scroll Progress BARCatchplugins Catch Sticky MenuCatchplugins Catch Themes Demo ImportCatchplugins Catch Under Construction+6 | 18/10/2021 | 17/6/2026 | Múltiples plugins del proveedor CatchThemes no llevan a cabo comprobaciones de capacidad y CSRF en la acción ctp_switch AJAX, que podría permitir a cualquier usuario autenticado, como el suscriptor cambiar el plugin Essential Widgets de WordPress versiones anteriores a 1.9, To Top de WordPress versiones anteriores a… | |
| Modificada | Media (5.4) | 0.62% | — | Secondlinethemes Podcast Subscribe Buttons | 18/10/2021 | 17/6/2026 | El plugin Podcast Subscribe Buttons de WordPress versiones anteriores a 1.4.2, permite a usuarios con cualquier rol capaz de editar o añadir entradas llevar a cabo un ataque de tipo XSS almacenado |