[■] Gestor de contenidos

WordPress

Web oficial

43.919 expedientes en el radar

Comprueba tu versión de WordPress Sólo las que se están explotando

[■] Para hacerlo bien

Guías

Actualizar WordPress, plugins y temas sin romper la web
Qué se actualiza solo en WordPress, cómo prepararte antes de actualizar, qué hacer si algo se rompe y qué significan los avisos de plugins abandonados.
Cómo leer una vulnerabilidad: CVE, CVSS y «se está explotando»
Qué significan el identificador CVE, la puntuación CVSS, el catálogo KEV y la probabilidad EPSS, y cómo saber si tu versión está afectada.
Lo básico para proteger WordPress
Las medidas que recomienda la documentación oficial de WordPress para proteger una web: accesos, verificación en dos pasos, wp-config.php, permisos, HTTPS y copias.
Qué versión de PHP usa tu web y por qué tiene que tener soporte
Cómo saber qué PHP tiene tu web, qué ramas reciben hoy parches de seguridad y cuándo dejan de recibirlos, y qué pide WordPress.
Mi WordPress ha sido hackeado: qué hacer, paso a paso
Cómo saber si tu web WordPress está comprometida, qué hacer en la primera hora, cómo limpiarla y cómo pedir a Google que quite el aviso.

[■] Registro

Vulnerabilidades (43.919)

7,5 Alta

CVE-2026-3174: falta de autorización en Event Tickets and Registration

CVE-2026-3174

T−69d 7 sept. 2026
5,3 Media

CVE-2026-81021: falta de autorización en SupportCandy – Helpdesk, Support Ticket System & AI Chatbot

CVE-2026-81021

T−69d 7 sept. 2026
8,8 Alta

CVE-2026-16502: deserialización de datos no fiables en Live Composer – Free WordPress Website Builder

CVE-2026-16502

T−69d 7 sept. 2026
5,3 Media

CVE-2026-13144: falta de autorización en WP Travel – Ultimate Travel Booking System, Tour Management Engine

CVE-2026-13144

T−69d 7 sept. 2026
6,4 Media

CVE-2026-2390: cross-site scripting (XSS) en Powerkit – Supercharge your WordPress Site

CVE-2026-2390

T−70d 6 sept. 2026
5,3 Media

CVE-2026-8279: falta de autorización en Masteriyo LMS – LMS Course Builder, Quizzes & Certificates

CVE-2026-8279

T−70d 6 sept. 2026
5,4 Media

CVE-2026-12853: falta de autorización en Flamingo

CVE-2026-12853

T−70d 6 sept. 2026
7,2 Alta

CVE-2026-6431: cross-site scripting (XSS) en User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor

CVE-2026-6431

T−70d 6 sept. 2026
6,4 Media

CVE-2026-84028: cross-site scripting (XSS) en Bold Page Builder

CVE-2026-84028

T−70d 6 sept. 2026
5,3 Media

CVE-2026-4945: acceso a datos de otros usuarios (IDOR) en Otter Blocks – Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE

CVE-2026-4945

T−70d 6 sept. 2026
7,5 Alta

CVE-2026-18056: autenticación incorrecta en HivePress Authentication

CVE-2026-18056

T−71d 5 sept. 2026
9,8 Crít.

CVE-2026-75816: autenticación incorrecta en ACF Frontend Admin by DynamiApps

CVE-2026-75816

T−71d 5 sept. 2026
9,8 Crít.

CVE-2026-16310: acceso a datos de otros usuarios (IDOR) en MemberDash

CVE-2026-16310

T−71d 5 sept. 2026
9,8 Crít.

CVE-2026-10196: deserialización de datos no fiables en Mail Mint – Email Marketing, Automation & WooCommerce Emails with AI Assistance

CVE-2026-10196

T−71d 5 sept. 2026
9,8 Crít.

CVE-2026-83627: inyección de código en Hummingbird Performance – Cache & Page Speed Optimization for Core Web Vitals | Critical CSS | Minify CSS | Defer CSS Javascript | CDN

CVE-2026-83627

T−71d 5 sept. 2026
6,4 Media

CVE-2026-84896: cross-site scripting (XSS) en King Addons for Elementor – 100+ Elementor Widgets, 4 000+ Elementor Templates, WooCommerce Builder, Mega Menu, Popup Builder

CVE-2026-84896

T−71d 5 sept. 2026
6,6 Media

Deserialización de datos no fiables en Jetpack – AI Agents & MCP, Security, Backup & Analytics

T−71d 5 sept. 2026
6,4 Media

CVE-2026-84899: cross-site scripting (XSS) en VikWidgetsLoader – Collection of Widgets

CVE-2026-84899

T−71d 5 sept. 2026
6,4 Media

CVE-2026-82846: cross-site scripting (XSS) en Masteriyo LMS – LMS Course Builder, Quizzes & Certificates

CVE-2026-82846

T−71d 5 sept. 2026
6,4 Media

CVE-2026-84930: cross-site scripting (XSS) en CatFolders Document Gallery & PDF Library

CVE-2026-84930

T−71d 5 sept. 2026
4,9 Media

CVE-2025-15693: recorrido de rutas (path traversal) en JCH Optimize

CVE-2025-15693

T−71d 5 sept. 2026
5,3 Media

CVE-2026-81348: exposición de información sensible en My Private Site – Make Your Whole Site Private, Force Login & Block Registration Spam

CVE-2026-81348

T−71d 5 sept. 2026
4,3 Media

CVE-2026-84901: falta de autorización en Eventin – Events Calendar, Tickets, Registration, Booking & WooCommerce

CVE-2026-84901

T−71d 5 sept. 2026
6,4 Media

CVE-2026-83543: falsificación de peticiones del servidor (SSRF) en Greenshift – animation and page builder blocks

CVE-2026-83543

T−71d 5 sept. 2026
4,3 Media

CVE-2026-78150: acceso a datos de otros usuarios (IDOR) en Smart Post – Post Grid, Post Carousel, Post Slider Gutenberg Blocks for Blog & News

CVE-2026-78150

T−71d 5 sept. 2026
4,9 Media

CVE-2026-84221: inyección SQL en Kirki – Freeform Page Builder, Website Builder & Customizer

CVE-2026-84221

T−71d 5 sept. 2026
6,4 Media

CVE-2026-84931: cross-site scripting (XSS) en Joli Table Of Contents – Table of Contents with Gutenberg Block & Shortcode

CVE-2026-84931

T−71d 5 sept. 2026
4,3 Media

CVE-2026-15247: falta de autorización en Search Atlas SEO – OTTO AI SEO Automation for WordPress

CVE-2026-15247

T−71d 5 sept. 2026
6,4 Media

CVE-2026-83544: cross-site scripting (XSS) en Greenshift – animation and page builder blocks

CVE-2026-83544

T−71d 5 sept. 2026
6,5 Media

CVE-2026-84937: inyección SQL en Video Player for YouTube – Embed Videos Your Visitors Will Love to Watch

CVE-2026-84937

T−71d 5 sept. 2026