[■] Gestor de contenidos

WordPress

Web oficial

43.919 expedientes en el radar

Comprueba tu versión de WordPress Sólo las que se están explotando

[■] Para hacerlo bien

Guías

Actualizar WordPress, plugins y temas sin romper la web
Qué se actualiza solo en WordPress, cómo prepararte antes de actualizar, qué hacer si algo se rompe y qué significan los avisos de plugins abandonados.
Cómo leer una vulnerabilidad: CVE, CVSS y «se está explotando»
Qué significan el identificador CVE, la puntuación CVSS, el catálogo KEV y la probabilidad EPSS, y cómo saber si tu versión está afectada.
Lo básico para proteger WordPress
Las medidas que recomienda la documentación oficial de WordPress para proteger una web: accesos, verificación en dos pasos, wp-config.php, permisos, HTTPS y copias.
Qué versión de PHP usa tu web y por qué tiene que tener soporte
Cómo saber qué PHP tiene tu web, qué ramas reciben hoy parches de seguridad y cuándo dejan de recibirlos, y qué pide WordPress.
Mi WordPress ha sido hackeado: qué hacer, paso a paso
Cómo saber si tu web WordPress está comprometida, qué hacer en la primera hora, cómo limpiarla y cómo pedir a Google que quite el aviso.

[■] Registro

Vulnerabilidades (43.919)

7,2 Alta

CVE-2026-81795: cross-site scripting (XSS) en Page Visits Counter – Lite

CVE-2026-81795

T−68d 8 sept. 2026
4,3 Media

CVE-2026-81801: falta de autorización en WP-Stateless – Google Cloud Storage

CVE-2026-81801

T−68d 8 sept. 2026
5,3 Media

CVE-2026-77771: autenticación incorrecta en miniOrange 2FA – Two Factor Authentication for WordPress (Passkey, OTP, SMS, Email, Google Authenticator)

CVE-2026-77771

T−68d 8 sept. 2026
6,5 Media

CVE-2026-81275: recorrido de rutas (path traversal) en Youzify – BuddyPress Community, User Profile, Social Network & Membership Plugin for WordPress

CVE-2026-81275

T−68d 8 sept. 2026
5,3 Media

CVE-2026-66674: vulnerabilidad en Simple CAPTCHA with Cloudflare Turnstile

CVE-2026-66674

T−68d 8 sept. 2026
7,2 Alta

CVE-2026-84819: cross-site scripting (XSS) en WPAdverts – Classifieds Plugin

CVE-2026-84819

T−68d 8 sept. 2026
6,4 Media

CVE-2026-81791: cross-site scripting (XSS) en EventON – Events Calendar

CVE-2026-81791

T−68d 8 sept. 2026
5,3 Media

CVE-2026-81793: falta de autorización en Salon Booking System – Appointment Booking for Salons, Barbershops & Spas

CVE-2026-81793

T−68d 8 sept. 2026
5,3 Media

CVE-2026-12956: falta de autorización en Eventin – Events Calendar, Tickets, Registration, Booking & WooCommerce

CVE-2026-12956

T−68d 8 sept. 2026
7,2 Alta

CVE-2026-84293: cross-site scripting (XSS) en Repeater Fields for Gravity Forms

CVE-2026-84293

T−68d 8 sept. 2026
4,3 Media

CVE-2026-81783: autenticación incorrecta en MailMunch – Grow your Email List

CVE-2026-81783

T−68d 8 sept. 2026
5,3 Media

CVE-2026-81796: falta de autorización en WP Travel – Ultimate Travel Booking System, Tour Management Engine

CVE-2026-81796

T−68d 8 sept. 2026
7,3 Alta

CVE-2026-77770: falta de autenticación en una función crítica en miniOrange 2FA – Two Factor Authentication for WordPress (Passkey, OTP, SMS, Email, Google Authenticator)

CVE-2026-77770

T−68d 8 sept. 2026
5,3 Media

CVE-2026-81786: falta de autorización en Thanko Thank You Page Customizer for WooCommerce

CVE-2026-81786

T−68d 8 sept. 2026
5,3 Media

CVE-2026-81787: falta de autorización en IMPress for IDX Broker

CVE-2026-81787

T−68d 8 sept. 2026
7,3 Alta

CVE-2026-81792: gestión incorrecta de privilegios en CatalogX Product Catalog, Product Enquiry & Quotes for WooCommerce

CVE-2026-81792

T−69d 7 sept. 2026
5,3 Media

CVE-2026-81802: acceso a datos de otros usuarios (IDOR) en Event Booking Manager for WooCommerce – Sell Tickets, Event Registration, RSVP & Event Calendar

CVE-2026-81802

T−69d 7 sept. 2026
5,3 Media

CVE-2026-81790: falta de autorización en Hungarian Pickup Points & Shipping Labels for WooCommerce

CVE-2026-81790

T−69d 7 sept. 2026
7,2 Alta

CVE-2026-84818: cross-site scripting (XSS) en Open User Map – Interactive Leaflet Maps

CVE-2026-84818

T−69d 7 sept. 2026
4,3 Media

CVE-2026-81781: falta de autorización en Unbounce Landing Pages

CVE-2026-81781

T−69d 7 sept. 2026
7,2 Alta

CVE-2026-84817: cross-site scripting (XSS) en JetFormBuilder — Dynamic Blocks Form Builder

CVE-2026-84817

T−69d 7 sept. 2026
7,2 Alta

CVE-2026-81798: cross-site scripting (XSS) en Easy Appointments

CVE-2026-81798

T−69d 7 sept. 2026
7,2 Alta

CVE-2026-81806: falsificación de peticiones del servidor (SSRF) en Hide My WP Ghost – Security & Firewall

CVE-2026-81806

T−69d 7 sept. 2026
7,5 Alta

CVE-2026-48888: consumo de recursos sin control en WooCommerce

CVE-2026-48888

T−69d 7 sept. 2026
7,2 Alta

CVE-2026-84820: cross-site scripting (XSS) en Unlimited Elements for Elementor

CVE-2026-84820

T−69d 7 sept. 2026
7,5 Alta

CVE-2026-14444: gestión incorrecta de privilegios en WP Fusion (Pro)

CVE-2026-14444

T−69d 7 sept. 2026
6,5 Media

CVE-2026-12757: inyección de código en Email Subscribers & Newsletters by Icegram Express – Email Marketing, Post Notifications & WooCommerce Marekting Automation for WordPress

CVE-2026-12757

T−69d 7 sept. 2026
6,5 Media

CVE-2026-18021: inyección de código en Beaver Builder Page Builder – Drag and Drop Website Builder

CVE-2026-18021

T−69d 7 sept. 2026
4,3 Media

CVE-2026-85132: falta de autorización en WPLP Cookie Consent – Cookie Banner & Consent Management for GDPR, CCPA & Google Consent Mode

CVE-2026-85132

T−69d 7 sept. 2026
5,3 Media

CVE-2026-80339: exposición de información sensible en Payment Plugins for Stripe WooCommerce

CVE-2026-80339

T−69d 7 sept. 2026