[■] Gestor de contenidos

WordPress

Web oficial

43.917 expedientes en el radar

Comprueba tu versión de WordPress Sólo las que se están explotando

[■] Para hacerlo bien

Guías

Actualizar WordPress, plugins y temas sin romper la web
Qué se actualiza solo en WordPress, cómo prepararte antes de actualizar, qué hacer si algo se rompe y qué significan los avisos de plugins abandonados.
Cómo leer una vulnerabilidad: CVE, CVSS y «se está explotando»
Qué significan el identificador CVE, la puntuación CVSS, el catálogo KEV y la probabilidad EPSS, y cómo saber si tu versión está afectada.
Lo básico para proteger WordPress
Las medidas que recomienda la documentación oficial de WordPress para proteger una web: accesos, verificación en dos pasos, wp-config.php, permisos, HTTPS y copias.
Qué versión de PHP usa tu web y por qué tiene que tener soporte
Cómo saber qué PHP tiene tu web, qué ramas reciben hoy parches de seguridad y cuándo dejan de recibirlos, y qué pide WordPress.
Mi WordPress ha sido hackeado: qué hacer, paso a paso
Cómo saber si tu web WordPress está comprometida, qué hacer en la primera hora, cómo limpiarla y cómo pedir a Google que quite el aviso.

[■] Registro

Vulnerabilidades (43.917)

7,2 Alta

CVE-2026-88784: cross-site scripting (XSS) en Translate WordPress with Weglot 2.0 – Multilingual AI Translation

CVE-2026-88784

T−27d 19 oct. 2026
7,3 Alta

CVE-2026-110523: gestión incorrecta de privilegios en WP User Manager – Registration Form, Login Form, User Profile Builder & Member Directory

CVE-2026-110523

T−27d 19 oct. 2026
6,1 Media

CVE-2026-111948: cross-site scripting (XSS) en User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor

CVE-2026-111948

T−27d 19 oct. 2026
6,4 Media

CVE-2026-81813: cross-site scripting (XSS) en Elementor Website Builder – more than just a page builder

CVE-2026-81813

T−27d 19 oct. 2026
5,3 Media

CVE-2026-96901: vulnerabilidad en Cart Abandonment Recovery for WooCommerce – Recover Lost Sales with Automated Emails

CVE-2026-96901

T−27d 19 oct. 2026
6,5 Media

CVE-2026-110651: inyección SQL en Swift Performance Lite

CVE-2026-110651

T−27d 19 oct. 2026
5,3 Media

CVE-2026-105999: exposición de información sensible en Booking Package

CVE-2026-105999

T−27d 19 oct. 2026
5,3 Media

CVE-2026-87838: falta de autorización en Wava Payment Plugin

CVE-2026-87838

T−27d 19 oct. 2026
4,3 Media

CVE-2026-110514: acceso a datos de otros usuarios (IDOR) en WPZOOM Portfolio Lite – Filterable Portfolio Plugin

CVE-2026-110514

T−27d 19 oct. 2026
6,5 Media

CVE-2026-102499: inyección SQL en Modern Events Calendar y Modern Events Calendar Lite

CVE-2026-102499

T−27d 19 oct. 2026
5,3 Media

CVE-2026-92999: exposición de información sensible en Click n Chat (Chat Widget Integration)

CVE-2026-92999

T−27d 19 oct. 2026
6,4 Media

CVE-2026-107790: cross-site scripting (XSS) en HireZoot – Job Listings, Career Page & Recruitment Tool

CVE-2026-107790

T−27d 19 oct. 2026
4,3 Media

CVE-2026-112328: falta de autorización en Sensei LMS – Online Courses, Quizzes, & Learning

CVE-2026-112328

T−27d 19 oct. 2026
8,8 Alta

CVE-2026-111828: inyección de código en Classified Listing – AI-Powered Classified ads & Business Directory

CVE-2026-111828

T−27d 19 oct. 2026
5,3 Media

CVE-2026-111955: autenticación incorrecta en WholesaleX – Wholesale Pricing & B2B Solution

CVE-2026-111955

T−27d 19 oct. 2026
5,3 Media

CVE-2026-105256: vulnerabilidad en Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress

CVE-2026-105256

T−27d 19 oct. 2026
6,4 Media

CVE-2026-105262: cross-site scripting (XSS) en Falang multilanguage for WordPress

CVE-2026-105262

T−27d 19 oct. 2026
5,3 Media

CVE-2026-87837: falta de autorización en Wava Payment Plugin

CVE-2026-87837

T−27d 19 oct. 2026
5,3 Media

CVE-2026-105992: falta de autorización en Escape Room Booking Pro

CVE-2026-105992

T−27d 19 oct. 2026
7,2 Alta

CVE-2026-85683: cross-site scripting (XSS) en Jane Menu

CVE-2026-85683

T−27d 19 oct. 2026
9,1 Crít.

CVE-2026-111833: recorrido de rutas (path traversal) en weForms – Easy Drag & Drop Contact Form Builder For WordPress

CVE-2026-111833

T−27d 19 oct. 2026
2,7 Baja

CVE-2026-107128: autorización incorrecta en Uncanny Toolkit for LearnDash

CVE-2026-107128

T−27d 19 oct. 2026
5,3 Media

CVE-2026-104641: vulnerabilidad en Simple Shopping Cart

CVE-2026-104641

T−27d 19 oct. 2026
5,3 Media

CVE-2026-94273: falta de autorización en Snap Finance

CVE-2026-94273

T−27d 19 oct. 2026
8,8 Alta

CVE-2026-110887: inyección de código en HivePress – Business Directory, Listings & Classified Ads Plugin

CVE-2026-110887

T−28d 17 oct. 2026
6,3 Media

CVE-2026-110898: gestión incorrecta de privilegios en Essential Addons for Elementor – Popular Elementor Templates & Widgets

CVE-2026-110898

T−28d 17 oct. 2026
6,4 Media

CVE-2026-111407: cross-site scripting (XSS) en Tutor LMS – eLearning and online course solution

CVE-2026-111407

T−28d 17 oct. 2026
7,5 Alta

CVE-2026-111408: deserialización de datos no fiables en Quiz and Survey Master (QSM) – Quiz Maker & Survey Maker

CVE-2026-111408

T−28d 17 oct. 2026
6,1 Media

CVE-2026-110379: cross-site scripting (XSS) en Quiz Maker by AYS

CVE-2026-110379

T−28d 17 oct. 2026
8,8 Alta

CVE-2026-111406: subida de ficheros peligrosos en MapSVG – Vector maps, Google Maps, Image maps – with AI assistant

CVE-2026-111406

T−28d 17 oct. 2026