Vulnerabilidades

Resumen — últimos 7 días

Vulnerabilidades nuevas4522▼ 839 respecto a la semana anterior
Críticas / altas1747▼ 1355 respecto a la semana anterior
Nueva explotación activa (KEV)8▲ 1 respecto a la semana anterior
Sin puntuar (sin CVSS)744▲ 646 respecto a la semana anterior
Más filtros
–

413.152 resultados, ordenados por fecha de publicación (más recientes primero)

CVEEstadoSeveridadEPSS Explotación activaTecnologías afectadasPublicada ▼Modificada Descripción
AplazadaAlta (8.8)0.28%—TopcontentAI11/10/202613/10/2026
El complemento WordPress Topcontent hasta la versión 1.2.1 no autoriza correctamente uno de sus manejadores de solicitudes e inhabilita la sanitización de HTML antes de almacenar el contenido enviado, permitiendo que atacantes no autenticados publiquen posts arbitrarios que contengan JavaScript malicioso en cualquier…
AplazadaAlta (8.8)0.28%—Disable UsersAI11/10/202613/10/2026
El plugin Disable Users de WordPress hasta la versión 1.0.5 no aplica su control de deshabilitación de cuentas en todos los caminos de autenticación, lo que permite al titular de una cuenta que un administrador ha deshabilitado seguir autenticándose con los privilegios completos de la cuenta.
AplazadaAlta (8.8)0.15%—Smugmug EmbedAI11/10/202613/10/2026
El plugin SmugMug Embed de WordPress hasta la versión 3.13 no cuenta con comprobaciones de autorización ni CSRF en una acción AJAX que almacena datos de galerías, y no desinfecta ni escapa esos datos antes de mostrarlos, permitiendo a usuarios no autenticados almacenar scripts web arbitrarios que se ejecutan cuando un…
AplazadaMedia (4.7)0.09%—Simple-membership-plugin Simple MembershipAI11/10/202613/10/2026
El complemento Simple Membership de WordPress anterior a la versión 4.8.3 no evita transmitir la contraseña en texto plano de un miembro recién registrado en una cadena de consulta de URL cuando se habilita una función opcional de auto-inicio de sesión después del registro, exponiendo la credencial en el historial del…
AplazadaAlta (8.8)0.28%—Buddypress Instant ChatAI11/10/202613/10/2026
El complemento BuddyPress Instant Chat de WordPress hasta la versión 1.6 no verifica que el remitente de un mensaje de chat pertenezca a la conversación a la que se está añadiendo, ni escapa el contenido del mensaje antes de mostrarlo de nuevo, lo que permite a usuarios no autenticados almacenar secuencias de comandos…
AplazadaAlta (8.8)0.36%—Adwised WEB Push NotificationAI11/10/202613/10/2026
El complemento Adwised Web Push Notification de WordPress hasta la versión 2.5.7 no tiene comprobaciones de autorización en varias operaciones que cambian el estado, y la comparación de secreto que utiliza en su lugar puede eludirse en instalaciones donde la clave secreta nunca ha sido establecida, permitiendo a…
AplazadaAlta (8)0.28%—Adwised WEB Push NotificationAI11/10/202613/10/2026
El plugin Adwised Web Push Notification para WordPress hasta la versión 2.5.7 no realiza ninguna comprobación de capacidades ni nonce antes de permitir que un usuario autenticado sobrescriba su configuración en todo el sitio, y no escapa esos valores de configuración antes de imprimirlos dentro de un bloque de script…
AplazadaAlta (8.8)0.34%—WEB Vitals TrackingAI11/10/202613/10/2026
El complemento Web Vitals Tracking de WordPress hasta la versión 5.4.2 no valida ni escapa de las medidas de rendimiento enviadas por visitantes no autenticados antes de almacenarlas y mostrarlas en un contexto de script en una página administrativa, lo que permite que atacantes no autenticados realicen ataques de…
AplazadaAlta (8.8)0.34%—HootboardAI11/10/202613/10/2026
El plugin de WordPress HootBoard hasta la versión 3.1.4 no realiza ninguna comprobación de autorización en algunos de sus puntos finales REST, y no escapa los valores almacenados a través de ellos antes de mostrarlos en una página pública, lo que permite que usuarios no autenticados inyecten scripts web arbitrarios…
AplazadaCrítica (9.1)0.31%—InsurifyAI11/10/202613/10/2026
El complemento Insurify de WordPress hasta la versión 1.0 no tiene comprobaciones de autorización y nonce en una de sus acciones AJAX, permitiendo a usuarios no autenticados eliminar opciones arbitrarias de WordPress, lo que puede dejar el sitio sin conexión e impedir que todos los usuarios tengan su rol.
AplazadaCrítica (9.1)0.31%—Quick QuotesAI11/10/202613/10/2026
El complemento Quick quotes de WordPress hasta la versión 1.0.0 no realiza ninguna comprobación de capacidad o nonce en una de sus acciones AJAX y permite al llamante elegir qué opción se escribe, lo que permite a usuarios no autenticados alterar configuraciones arbitrarias del sitio e inutilizar el sitio.
AplazadaAlta (7.2)0.32%—CrowdfundlyAI11/10/202613/10/2026
El complemento Crowdfundly para WordPress hasta la versión 2.2.2 no tiene comprobaciones de capacidad en algunas de sus acciones AJAX, lo que permite a los usuarios que poseen uno de sus roles de bajo privilegio otorgarse a sí mismos el rol de administrador o capacidades arbitrarias, lo que lleva a una toma de control…
AplazadaCrítica (9.1)0.31%—InsurifyAI11/10/202613/10/2026
El plugin Insurify de WordPress hasta la versión 1.0 no dispone de comprobaciones de autorización ni de nonce en una de sus acciones AJAX, lo que permite a usuarios no autenticados crear y sobrescribir opciones arbitrarias de WordPress con datos de solicitud, pudiendo dejar el sitio sin conexión y desactivar todos sus…
AplazadaCrítica (9.8)0.34%—AI Content Generator MarketingAI11/10/202613/10/2026
El complemento AI Content Generator Marketing para WordPress hasta la versión 1.0.0 no aplica verificación de nonce ni de capacidades en algunas de sus acciones AJAX, permitiendo a usuarios no autenticados actualizar y eliminar opciones arbitrarias de WordPress, que puede utilizarse para obtener acceso de…
AplazadaCrítica (9.8)0.34%—Freeton WPAI11/10/202613/10/2026
El complemento Freeton WP de WordPress hasta la versión 1.0.0 no valida correctamente el código de activación al autenticar a un usuario, permitiendo que atacantes no autenticados inicien sesión como cualquier usuario cuya dirección de correo electrónico conozcan, incluidos los administradores.
AplazadaCrítica (9.8)0.34%—Mindstien Quick LoginAI11/10/202613/10/2026
El plugin de WordPress Mindstien Quick Login hasta la versión 1.0 no valida correctamente un valor suministrado en la solicitud frente a la propia sesión del visitante antes de autenticarlo, permitiendo que atacantes no autenticados obtengan una sesión como la cuenta de administrador con la que está configurado el…
AplazadaAlta (8.8)0.30%—Click5 CRMAI11/10/202613/10/2026
El complemento click5 CRM de Contact Form 7 para WordPress hasta la versión 1.0.4 no desinfecta ni escapa el contenido enviado a través de un punto final no autenticado antes de mostrarlo nuevamente en una página de administración, lo que genera vulnerabilidades de secuencias de comandos en sitios cruzados (XSS)…
AplazadaAlta (8.8)0.30%—Click5 CRMAI11/10/202613/10/2026
El complemento click5 CRM add-on to Gravity Forms para WordPress versión 1.0.3 y anteriores no sanitiza ni escapa el contenido enviado a través de un punto de acceso sin autenticación antes de mostrarlo de nuevo en una página de administración, lo que genera un ataque de secuencias de comandos en sitios cruzados (XSS)…
AplazadaAlta (8.8)0.30%—Click5 CRMAI11/10/202613/10/2026
La extensión click5 CRM del complemento WPForms de WordPress hasta la versión 1.0.3 no desinfecta ni escapa el contenido enviado a través de un punto final sin autenticación antes de devolverlo en una página de administración, lo que genera un ataque de secuencias de comandos en sitios cruzados (XSS) almacenado que…
AplazadaAlta (8.8)0.30%—Click5 CRMAI11/10/202613/10/2026
El complemento click5 CRM add-on para Ninja Forms WordPress versión 1.0.1 y anteriores no desinfecta ni escapa el contenido enviado a través de un punto de acceso no autenticado antes de mostrarlo nuevamente en una página de administración, lo que da lugar a XSS almacenado que podría utilizarse contra usuarios con…
AplazadaCrítica (9.8)0.18%—Click5 CRMAI11/10/202613/10/2026
El complemento click5 CRM add-on to Contact Form 7 WordPress, versión 1.0.4 y anteriores, no realiza comprobaciones de autorización y CSRF al actualizar opciones mediante un punto final REST, y no garantiza que la opción a actualizar pertenezca al complemento click5 CRM add-on to Contact Form 7 WordPress, versión…
AplazadaCrítica (9.8)0.18%—Click5 CRMAI11/10/202613/10/2026
El complemento click5 CRM add-on to Gravity Forms para WordPress versión 1.0.3 y anteriores no realiza comprobaciones de autorización y CSRF al actualizar opciones a través de un punto final REST, ni se asegura de que la opción a actualizar pertenezca al complemento click5 CRM add-on to Gravity Forms para WordPress…
AplazadaCrítica (9.8)0.18%—Click5 CRMAI11/10/202613/10/2026
El complemento click5 CRM add-on to WPForms para WordPress versión 1.0.3 y anteriores no dispone de comprobaciones de autorización y CSRF al actualizar opciones a través de un punto final REST, y no verifica que la opción a actualizar pertenezca al complemento click5 CRM add-on to WPForms para WordPress versión 1.0.3…
AplazadaCrítica (9.8)0.18%—Click5 CRMAI11/10/202613/10/2026
El complemento click5 CRM add-on to Ninja Forms WordPress plugin en versión 1.0.1 y anteriores no dispone de controles de autorización y CSRF al actualizar opciones a través de un endpoint REST, y no garantiza que la opción a actualizar pertenezca al complemento click5 CRM add-on to Ninja Forms WordPress plugin en…
AplazadaCrítica (9.1)0.29%—Fundiin CHOAI11/10/202613/10/2026
El complemento Fundiin cho WooCommerce para WordPress versión 3.4.0 y anteriores no cuenta con una autorización adecuada en varias de sus rutas de API REST, confiando en su lugar en una credencial que es idéntica en todas las instalaciones, lo que permite a atacantes no autenticados divulgar las credenciales de pago…