Vulnerabilidades
Resumen — últimos 7 días
Vulnerabilidades nuevas5294▲ 2546 respecto a la semana anterior
Críticas / altas2974▲ 1645 respecto a la semana anterior
Nueva explotación activa (KEV)6▼ 2 respecto a la semana anterior
Sin puntuar (sin CVSS)223▲ 49 respecto a la semana anterior
1877 resultados, ordenados por fecha de publicación (más recientes primero)
| CVE | Estado | Severidad | EPSS | Explotación activa | Tecnologías afectadas | Publicada ▼ | Modificada | Descripción |
|---|---|---|---|---|---|---|---|---|
| Modificada | Alta (8.8) | 1.7% | — | Accesspressthemes Access Demo ImporterAccesspressthemes Accesspress-liteAccesspressthemes Accesspress-magAccesspressthemes Accesspress-parallax+39 | 11/10/2021 | 17/6/2026 | Un plugin de WordPress y varios temas de WordPress desarrollados por AccessPress Themes son vulnerables a la carga de archivos maliciosos a través de la acción plugin_offline_installer AJAX debido a la falta de una comprobación de capacidad en la función plugin_offline_installer_callback que se encuentra en el archivo… | |
| Modificada | Crítica (9.8) | 2.1% | — | Stylemixthemes Ulisting | 27/9/2021 | 17/6/2026 | Una vulnerabilidad de inyección SQL no autenticada (SQLi) en el plugin uListing de WordPress (versiones anteriores a 2.0.3 incluyéndola), parámetro vulnerable: custom | |
| Modificada | Crítica (9.8) | 2.2% | — | Stylemixthemes Ulisting | 27/9/2021 | 17/6/2026 | Una vulnerabilidad de Escalada de Privilegios no autenticada en el plugin uListing de WordPress (versiones anteriores a 2.0.5 incluyéndola). Es posible si la configuración de WordPress permite un registro de usuarios | |
| Modificada | Media (6.5) | 0.44% | — | Stylemixthemes Ulisting | 27/9/2021 | 17/6/2026 | Una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin uListing de WordPress (versiones anteriores a 2.0.5 incluyéndola) hace posible a atacantes modificar los roles de usuarios | |
| Modificada | Alta (8.8) | 0.44% | — | Stylemixthemes Ulisting | 27/9/2021 | 17/6/2026 | Múltiples vulnerabilidades de tipo Cross-Site Request Forgery (CSRF) en el plugin uListing de WordPress (versiones anteriores a 2.0.5 incluyéndola) ya que carece de comprobaciones de tipo CSRF en las páginas de administración del plugin | |
| Modificada | Media (4.8) | 0.77% | — | Stylemixthemes Ulisting | 27/9/2021 | 17/6/2026 | Una vulnerabilidad de tipo Cross-Site Scripting (XSS) Reflejado y Autenticado en el plugin uListing de WordPress (versiones anteriores a 2.0.5 incluyéndola). Parámetros vulnerables: &filter[id], &filter[user], &filter[expired_date], &filter[created_date], &filter[updated_date] | |
| Modificada | Alta (8.8) | 1.1% | — | Stylemixthemes Ulisting | 27/9/2021 | 17/6/2026 | Una vulnerabilidad de Referencias Directas a Objetos no Seguros (IDOR) en el plugin uListing de WordPress (versiones anteriores a 2.0.5 incluyéndola) | |
| Modificada | Media (4.8) | 0.71% | — | Yithemes Yith Maintenance Mode | 27/9/2021 | 17/6/2026 | Múltiples vulnerabilidades de tipo Cross-Site Scripting (XSS) Almacenado y Autenticado en YITH Maintenance Mode (plugin de WordPress) versiones anteriores a 1.3.8 incluyéndola, hay 46 parámetros vulnerables que fueron pasados por alto por el proveedor mientras parcheaba la versión 1.3.7 a la 1.3.8. Parámetros… | |
| Modificada | Media (5.4) | 0.63% | — | Yithemes Yith Maintenance Mode | 27/9/2021 | 17/6/2026 | Una vulnerabilidad de tipo Cross-Site Scripting (XSS) Almacenado y Autenticado en YITH Maintenance Mode (plugin de WordPress) versiones anteriores a 1.3.7 incluyéndola, parámetro vulnerable &yith_maintenance_newsletter_submit_label. Posible incluso cuando el HTML sin filtrar no está permitido por la configuración… | |
| Modificada | Media (4.3) | 0.44% | — | Stylemixthemes Ulisting | 27/9/2021 | 17/6/2026 | Una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin uListing de WordPress (versiones anteriores a 2.0.5, incluyéndola) hace posible para atacantes actualizar la configuración | |
| Modificada | Alta (7) | 0.22% | — | Samsung Themes | 9/9/2021 | 17/6/2026 | Una vulnerabilidad de comprobación de esquema inapropiada en Samsung Themes versiones anteriores a 5.2.01, permite a atacantes llevar a cabo un ataque de tipo Man-in-the-middle | |
| Modificada | Alta (8.8) | 8.2% | — | Bold-themes Bold Page Builder | 30/8/2021 | 17/6/2026 | La acción bt_bb_get_grid AJAX del plugin de WordPress Bold Page Builder versiones anteriores a 3.1.6, pasa la entrada del usuario a la función unserialize() sin ninguna comprobación o saneamiento, lo que podría conllevar a una Inyección de Objeto PHP. Aunque el plugin no contenía un gadget adecuado para explotar… | |
| Modificada | Crítica (9.8) | 57% | 💥 Exploit | Qantumthemes KentharadioQantumthemes Onair2 | 2/8/2021 | 17/6/2026 | El tema de WordPress OnAir2 versiones anteriores a 3.9.9.2 y el plugin de WordPress QT KenthaRadio versiones anteriores a 2.0.2, han expuesto la funcionalidad proxy a usuarios no autenticados, el envío de peticiones a esta funcionalidad de proxy hará al servidor web obtener y mostrar el contenido de cualquier URI,… | |
| Modificada | Crítica (9.1) | 1.6% | — | Xylusthemes WP Smart Import | 7/7/2021 | 17/6/2026 | Una vulnerabilidad de tipo Server-side request forgery (SSR) en el plugin WP Smart Import (wp-smart-import) versión 1.0.0 para WordPress, por medio del campo file | |
| Modificada | Media (6.1) | 3.7% | 💥 Exploit | Contempothemes Real Estate 7 | 6/7/2021 | 17/6/2026 | El tema WP Pro Real Estate 7 de WordPress versiones anteriores a 3.1.1, no sanea apropiadamente el parámetro ct_community en su página de listado de búsqueda antes de devolverlo, conllevando a una vulnerabilidad de tipo Cross-Site Scripting reflejado que podría ser desencadenado tanto en un contexto de usuario no… | |
| Modificada | Crítica (9.8) | 67% | — | Bold-themes Bello | 1/6/2021 | 17/6/2026 | El tema de WordPress Bello - Directory & Listing versiones anteriores a 1.6.0, no saneababa los parámetros bt_bb_listing_field_price_range_to, bt_bb_listing_field_now_open, bt_bb_listing_field_my_lng, Listing_list_view y bt_bb_listing_field_my_lat antes de usarlos en una sentencia SQL, conllevando a problemas de… | |
| Modificada | Media (6.1) | 11% | 💥 Exploit | Bold-themes Bello | 1/6/2021 | 17/6/2026 | El tema de WordPress Bello - Directory & Listing versiones anteriores a 1.6.0 no saneababa ni escapada apropiadamente los parámetros listing_list_view, bt_bb_listing_field_my_lat, bt_bb_listing_field_my_lng, bt_bb_listing_field_distance_value, bt_bb_listing_field_my_lat_default, bt_bb_listing_field_keyword,… | |
| Modificada | Media (5.4) | 1.7% | — | Bold-themes Bello | 1/6/2021 | 17/6/2026 | El tema de WordPress Bello - Directory & Listing versiones anteriores a 1.6.0, no saneaba apropiadamente su parámetro post_excerpt antes de devolverlo a la página shop/my-account/bello-Listing-endpoint/page, lo conllevando un problema de tipo Cross-Site Scripting | |
| Modificada | Media (6.5) | 0.99% | — | Purethemes Listeo | 1/6/2021 | 17/6/2026 | El tema Listeo WordPress versiones anteriores a 1.6.11 no aseguraba que la publicación/página y la reserva a eliminar pertenezcan al usuario que realiza la petición, permitiendo a cualquier usuario autenticado eliminar páginas/publicaciones arbitrarias y reservas por medio de un vector IDOR | |
| Modificada | Media (6.1) | 0.93% | — | Purethemes Listeo | 1/6/2021 | 17/6/2026 | El tema Listeo WordPress versiones anteriores a 1.6.11, no saneaba apropiadamente algunos parámetros en sus páginas de Búsqueda, Confirmación de reserva y Mensaje personal, lo que generaba problemas de tipo Cross-Site Scripting | |
| Modificada | Media (6.1) | 6.4% | 💥 Exploit | Wowthemes Mediumish | 1/6/2021 | 17/6/2026 | La funcionalidad search del tema Mediumish de WordPress versiones hasta 1.0.47, no sanea apropiadamente el parámetro "s" GET antes de devolverlo a la página, conllevando a un problema de tipo Cross-SIte Scripting | |
| Modificada | Media (6.1) | 0.82% | — | Boostifythemes Goto | 24/5/2021 | 17/6/2026 | El tema Goto WordPress anterior a 2.1 no saneaba apropiadamente el parámetro post de JSON de formvalue en su acción tl_filter AJAX, lo que generaba una vulnerabilidad de Scripting entre sitios Reflejado (XSS) no autenticado | |
| Modificada | Crítica (9.8) | 1.9% | — | Boostifythemes Goto | 17/5/2021 | 17/6/2026 | El tema Goto WordPress versiones anteriores a 2.1 no sanea, comprueba o escapa las palabras claves del parámetro GET de su página de listado antes de usarlo en una sentencia SQL, conllevando a un problema de inyección SQL no autenticado | |
| Modificada | Media (5.4) | 0.66% | — | Purethemes WorkscoutPurethemes Workscout Core | 6/5/2021 | 17/6/2026 | El plugin Workscout Core WordPress versiones anteriores a 1.3.4, utilizado por el Tema WorkScout, no saneaba los mensajes de chat enviados por medio de la acción workscout_send_message_chat AJAX, conllevando a problemas de tipo Cross-Site Scripting Almacenados y Cross-Frame Scripting | |
| Modificada | Media (5.4) | 0.66% | — | Themesgrove All-in-one Addons FOR Elementor | 5/5/2021 | 17/6/2026 | El Plugin de WordPress "All-in-One Addons for Elementor - WidgetKit" versiones anteriores a 2.3.10, presenta varios widgets que son vulnerables a un ataque de tipo Cross-Site Scripting (XSS) almacenado por usuarios con menos privilegios, como los contribuyentes, todo por medio de un método similar |