[■] Gestor de contenidos

WordPress

Web oficial

43.919 expedientes en el radar

Comprueba tu versión de WordPress Sólo las que se están explotando

[■] Para hacerlo bien

Guías

Actualizar WordPress, plugins y temas sin romper la web
Qué se actualiza solo en WordPress, cómo prepararte antes de actualizar, qué hacer si algo se rompe y qué significan los avisos de plugins abandonados.
Cómo leer una vulnerabilidad: CVE, CVSS y «se está explotando»
Qué significan el identificador CVE, la puntuación CVSS, el catálogo KEV y la probabilidad EPSS, y cómo saber si tu versión está afectada.
Lo básico para proteger WordPress
Las medidas que recomienda la documentación oficial de WordPress para proteger una web: accesos, verificación en dos pasos, wp-config.php, permisos, HTTPS y copias.
Qué versión de PHP usa tu web y por qué tiene que tener soporte
Cómo saber qué PHP tiene tu web, qué ramas reciben hoy parches de seguridad y cuándo dejan de recibirlos, y qué pide WordPress.
Mi WordPress ha sido hackeado: qué hacer, paso a paso
Cómo saber si tu web WordPress está comprometida, qué hacer en la primera hora, cómo limpiarla y cómo pedir a Google que quite el aviso.

[■] Registro

Vulnerabilidades (43.919)

6,4 Media

CVE-2026-78290: cross-site scripting (XSS) en Magazine Blocks – Blog Designer, Magazine & Newspaper Website Builder, Page Builder with Posts Blocks, Post Grid

CVE-2026-78290

T−83d 24 ago. 2026
5,3 Media

CVE-2026-17559: falta de autorización en Passster – Password Protect Pages and Content

CVE-2026-17559

T−83d 24 ago. 2026
6,4 Media

CVE-2026-13176: falsificación de peticiones del servidor (SSRF) en Eventin – Events Calendar, Tickets, Registration, Booking & WooCommerce

CVE-2026-13176

T−83d 24 ago. 2026
5,3 Media

CVE-2026-13736: exposición de información sensible en NewPath WildApricotPress Add-on – Member Directory

CVE-2026-13736

T−83d 24 ago. 2026
5,3 Media

CVE-2026-78258: falta de autorización en Booking and Rental Manager for Bike | Car | Resort | Appointment | Dress | Equipment

CVE-2026-78258

T−83d 24 ago. 2026
4,3 Media

CVE-2026-28190: falta de autorización en Prolancer Element

CVE-2026-28190

T−83d 24 ago. 2026
4,3 Media

CVE-2026-78280: falsificación de peticiones (CSRF) en Hash Form – Drag & Drop Form Builder

CVE-2026-78280

T−83d 24 ago. 2026
5,3 Media

CVE-2026-77694: falta de autorización en Eventin – Events Calendar, Tickets, Registration, Booking & WooCommerce

CVE-2026-77694

T−83d 24 ago. 2026
7,5 Alta

CVE-2026-32560: inclusión de ficheros en PHP en MagicAI for WordPress - AI Text, Image, Chat, Code, and Voice Generator

CVE-2026-32560

T−83d 24 ago. 2026
5,3 Media

CVE-2026-77758: exposición de información sensible en Stripe Payment Forms by WP Full Pay – Accept Credit Card Payments, Donations & Subscriptions

CVE-2026-77758

T−83d 24 ago. 2026
4,3 Media

CVE-2026-19085: falta de autorización en Duplicate Post

CVE-2026-19085

T−83d 24 ago. 2026
9,8 Crít.

CVE-2026-16747: inyección de código en Kirki – Freeform Page Builder, Website Builder & Customizer

CVE-2026-16747

T−83d 24 ago. 2026
9,8 Crít.

CVE-2026-15206: autenticación incorrecta en SMS Alert – SMS Notifications & OTP Login, COD Verification, Abandoned Cart Recovery

CVE-2026-15206

T−83d 24 ago. 2026
4,9 Media

CVE-2026-14601: inyección SQL en Link Whisper Free

CVE-2026-14601

T−83d 24 ago. 2026
6,4 Media

CVE-2026-78269: falsificación de peticiones del servidor (SSRF) en Shared Files – File Upload & Download Manager

CVE-2026-78269

T−83d 24 ago. 2026
6,5 Media

CVE-2026-16959: inyección SQL en Media Library Assistant

CVE-2026-16959

T−83d 24 ago. 2026
8,8 Alta

CVE-2026-32559: subida de ficheros peligrosos en Ultimate AI

CVE-2026-32559

T−83d 24 ago. 2026
5,3 Media

CVE-2026-77789: acceso a datos de otros usuarios (IDOR) en Stripe Payment Forms by WP Full Pay – Accept Credit Card Payments, Donations & Subscriptions

CVE-2026-77789

T−83d 24 ago. 2026
5,3 Media

CVE-2026-16962: falta de autorización en Tamara Checkout

CVE-2026-16962

T−83d 24 ago. 2026
7,5 Alta

CVE-2026-19094: inyección SQL en Tutor LMS – eLearning and online course solution

CVE-2026-19094

T−83d 24 ago. 2026
9,1 Crít.

CVE-2026-78284: recorrido de rutas (path traversal) en MasterStudy LMS WordPress Plugin – for Online Courses and Education

CVE-2026-78284

T−83d 24 ago. 2026
4,7 Media

CVE-2026-75796: gestión incorrecta de privilegios en AI Engine – MCP Server & AI Chatbot for WordPress, with Claude, ChatGPT & Gemini

CVE-2026-75796

T−83d 24 ago. 2026
7,2 Alta

CVE-2026-78264: cross-site scripting (XSS) en Toolset Blocks

CVE-2026-78264

T−83d 24 ago. 2026
4,3 Media

CVE-2026-19435: falta de autorización en Duplicate Post

CVE-2026-19435

T−83d 24 ago. 2026
7,5 Alta

CVE-2026-32551: inyección SQL en Woo essential

CVE-2026-32551

T−83d 24 ago. 2026
4,4 Media

CVE-2026-14325: cross-site scripting (XSS) en Drag and Drop Multiple File Upload for Contact Form 7

CVE-2026-14325

T−83d 24 ago. 2026
6,5 Media

CVE-2026-32471: inyección SQL en Prolancer Element

CVE-2026-32471

T−83d 24 ago. 2026
4,3 Media

CVE-2026-16577: falta de autorización en Dokan: AI Powered WooCommerce Multivendor Marketplace Solution – Build Your Own Amazon, eBay, Etsy

CVE-2026-16577

T−83d 24 ago. 2026
5,3 Media

CVE-2026-74928: falta de autorización en Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker

CVE-2026-74928

T−83d 24 ago. 2026
4,3 Media

CVE-2026-78279: falsificación de peticiones (CSRF) en Fluent Support Pro

CVE-2026-78279

T−83d 24 ago. 2026