[■] Gestor de contenidos

WordPress

Web oficial

43.919 expedientes en el radar

Comprueba tu versión de WordPress Sólo las que se están explotando

[■] Para hacerlo bien

Guías

Actualizar WordPress, plugins y temas sin romper la web
Qué se actualiza solo en WordPress, cómo prepararte antes de actualizar, qué hacer si algo se rompe y qué significan los avisos de plugins abandonados.
Cómo leer una vulnerabilidad: CVE, CVSS y «se está explotando»
Qué significan el identificador CVE, la puntuación CVSS, el catálogo KEV y la probabilidad EPSS, y cómo saber si tu versión está afectada.
Lo básico para proteger WordPress
Las medidas que recomienda la documentación oficial de WordPress para proteger una web: accesos, verificación en dos pasos, wp-config.php, permisos, HTTPS y copias.
Qué versión de PHP usa tu web y por qué tiene que tener soporte
Cómo saber qué PHP tiene tu web, qué ramas reciben hoy parches de seguridad y cuándo dejan de recibirlos, y qué pide WordPress.
Mi WordPress ha sido hackeado: qué hacer, paso a paso
Cómo saber si tu web WordPress está comprometida, qué hacer en la primera hora, cómo limpiarla y cómo pedir a Google que quite el aviso.

[■] Registro

Vulnerabilidades (43.919)

7,2 Alta

CVE-2026-81754: cross-site scripting (XSS) en Vigilant – 100% Free Security Suite: Firewall, 2FA, Login, Headers, Scanner…

CVE-2026-81754

T−66d 10 sept. 2026
7,2 Alta

CVE-2026-81825: cross-site scripting (XSS) en Simple Ajax Chat – Add a Fast, Secure Chat Box

CVE-2026-81825

T−66d 10 sept. 2026
7,2 Alta

CVE-2026-18579: cross-site scripting (XSS) en WP Photo Album Plus

CVE-2026-18579

T−66d 10 sept. 2026
7,5 Alta

CVE-2026-18561: inyección SQL en Unlimited Elements for Elementor

CVE-2026-18561

T−66d 10 sept. 2026
7,5 Alta

CVE-2026-15462: inyección SQL en Sticky Chat Widget – Floating Chat Icons, Contact Form, Call, Click to Chat, Email & Message Buttons

CVE-2026-15462

T−66d 10 sept. 2026
6,1 Media

CVE-2026-18964: cross-site scripting (XSS) en Floating Chat Widget: Contact Chat Icons, Telegram Chat, Line Messenger, WeChat, Email, SMS, Call Button – Chaty

CVE-2026-18964

T−66d 10 sept. 2026
6,1 Media

CVE-2026-19985: cross-site scripting (XSS) en Relevanssi – A Better Search

CVE-2026-19985

T−66d 10 sept. 2026
8,1 Alta

CVE-2026-19991: recorrido de rutas (path traversal) en UsersWP – Front-end login form, User Registration, User Profile & Members Directory plugin for WP

CVE-2026-19991

T−66d 10 sept. 2026
5,3 Media

CVE-2026-12215: subida de ficheros peligrosos en OTP Login & Register Woocommerce

CVE-2026-12215

T−66d 10 sept. 2026
6,5 Media

CVE-2026-11496: falta de autorización en PDF Builder for WooCommerce. Create invoices,packing slips and more

CVE-2026-11496

T−66d 10 sept. 2026
6,5 Media

CVE-2026-15439: inyección SQL en GamiPress – Gamification plugin to reward points, badges & ranks in WordPress, now with AI

CVE-2026-15439

T−66d 10 sept. 2026
6,4 Media

CVE-2026-7438: cross-site scripting (XSS) en Bold Timeline Lite

CVE-2026-7438

T−66d 10 sept. 2026
7,5 Alta

CVE-2026-77807: recorrido de rutas (path traversal) en AcyMailing – An Ultimate Newsletter Plugin and Marketing Automation Solution for WordPress

CVE-2026-77807

T−66d 10 sept. 2026
9,8 Crít.

CVE-2026-18351: subida de ficheros peligrosos en Drag and Drop File Upload for Elementor Forms

CVE-2026-18351

T−66d 10 sept. 2026
5,3 Media

CVE-2026-27378: falta de autorización en Advanced Partial Payment or Deposit for WooCommerce

CVE-2026-27378

T−66d 10 sept. 2026
6,4 Media

CVE-2026-62138: cross-site scripting (XSS) en Visual Composer Website Builder

CVE-2026-62138

T−66d 10 sept. 2026
6,4 Media

CVE-2026-6640: cross-site scripting (XSS) en Media Library Assistant

CVE-2026-6640

T−66d 10 sept. 2026
5,3 Media

CVE-2026-62140: acceso a datos de otros usuarios (IDOR) en Quiz and Survey Master (QSM) – Quiz Maker & Survey Maker

CVE-2026-62140

T−66d 10 sept. 2026
6,4 Media

CVE-2026-6642: cross-site scripting (XSS) en Media Library Assistant

CVE-2026-6642

T−66d 10 sept. 2026
9,8 Crít.

CVE-2026-75800: vulnerabilidad en Frontegg SAML SSO

CVE-2026-75800

T−66d 10 sept. 2026
5,3 Media

CVE-2026-62135: falta de autorización en Booktics – Appointment Booking Calendar for Service Businesses

CVE-2026-62135

T−66d 10 sept. 2026
4,3 Media

CVE-2026-62133: falsificación de peticiones (CSRF) en RTMKit for Elementor – Modular Addons, Widgets, Templates, Icon Library, GSAP Animations, MCP & Store Ready

CVE-2026-62133

T−66d 10 sept. 2026
5,3 Media

CVE-2026-87892: vulnerabilidad en Rox Appointment Booking – Event, Calendar & Appointment Scheduling

CVE-2026-87892

T−66d 10 sept. 2026
4,3 Media

CVE-2026-62132: falta de autorización en Masteriyo LMS – LMS Course Builder, Quizzes & Certificates

CVE-2026-62132

T−66d 10 sept. 2026
4,3 Media

CVE-2026-77753: autenticación incorrecta en Temporary Login Without Password

CVE-2026-77753

T−66d 10 sept. 2026
4,3 Media

CVE-2026-62139: falsificación de peticiones (CSRF) en Site Kit by Google – Analytics, Search Console, AdSense, Speed

CVE-2026-62139

T−66d 10 sept. 2026
8,1 Alta

CVE-2026-77006: recorrido de rutas (path traversal) en WebTotem Backups

CVE-2026-77006

T−66d 10 sept. 2026
4,3 Media

CVE-2026-62134: acceso a datos de otros usuarios (IDOR) en Starter Templates: AI-Powered Website Templates for Elementor & Gutenberg

CVE-2026-62134

T−66d 10 sept. 2026
7,5 Alta

CVE-2026-84068: inyección SQL en Quentn WP

CVE-2026-84068

T−66d 10 sept. 2026
8,8 Alta

CVE-2026-81090: falsificación de peticiones (CSRF) en Gpx2Graphics

CVE-2026-81090

T−66d 10 sept. 2026