[■] Gestor de contenidos

WordPress

Web oficial

43.917 expedientes en el radar

Comprueba tu versión de WordPress Sólo las que se están explotando

[■] Para hacerlo bien

Guías

Actualizar WordPress, plugins y temas sin romper la web
Qué se actualiza solo en WordPress, cómo prepararte antes de actualizar, qué hacer si algo se rompe y qué significan los avisos de plugins abandonados.
Cómo leer una vulnerabilidad: CVE, CVSS y «se está explotando»
Qué significan el identificador CVE, la puntuación CVSS, el catálogo KEV y la probabilidad EPSS, y cómo saber si tu versión está afectada.
Lo básico para proteger WordPress
Las medidas que recomienda la documentación oficial de WordPress para proteger una web: accesos, verificación en dos pasos, wp-config.php, permisos, HTTPS y copias.
Qué versión de PHP usa tu web y por qué tiene que tener soporte
Cómo saber qué PHP tiene tu web, qué ramas reciben hoy parches de seguridad y cuándo dejan de recibirlos, y qué pide WordPress.
Mi WordPress ha sido hackeado: qué hacer, paso a paso
Cómo saber si tu web WordPress está comprometida, qué hacer en la primera hora, cómo limpiarla y cómo pedir a Google que quite el aviso.

[■] Registro

Vulnerabilidades (43.917)

7,2 Alta

CVE-2026-109193: cross-site scripting (XSS) en HivePress – Business Directory, Listings & Classified Ads Plugin

CVE-2026-109193

T−30d 15 oct. 2026
6,4 Media

CVE-2026-109388: cross-site scripting (XSS) en HivePress – Business Directory, Listings & Classified Ads Plugin

CVE-2026-109388

T−30d 15 oct. 2026
6,4 Media

CVE-2026-110290: cross-site scripting (XSS) en WebberZone Top 10 — Popular Posts

CVE-2026-110290

T−30d 15 oct. 2026
8,8 Alta

CVE-2026-92553: subida de ficheros peligrosos en YaySMTP – WP Mail SMTP with Email Logs, Tracking & Reports

CVE-2026-92553

T−30d 15 oct. 2026
6,8 Media

CVE-2026-107770: falta de autorización en Photo Engine (Media Organizer & Lightroom)

CVE-2026-107770

T−30d 15 oct. 2026
5,4 Media

CVE-2026-110252: cross-site scripting (XSS) en WPeMatico RSS Feed Fetcher

CVE-2026-110252

T−30d 15 oct. 2026
6,5 Media

CVE-2026-109382: autorización incorrecta en WSP MCP – Free MCP Plugin for WordPress: Connect Claude, ChatGPT & AI Agents

CVE-2026-109382

T−30d 15 oct. 2026
6,4 Media

CVE-2026-108175: cross-site scripting (XSS) en MDTF – Meta Data and Taxonomies Filter

CVE-2026-108175

T−30d 15 oct. 2026
4,3 Media

CVE-2026-110381: acceso a datos de otros usuarios (IDOR) en Simply Schedule Appointments

CVE-2026-110381

T−30d 15 oct. 2026
4,3 Media

CVE-2026-110891: falta de autorización en WordLift – AI powered SEO – Schema

CVE-2026-110891

T−30d 15 oct. 2026
4,3 Media

CVE-2026-110888: falta de autorización en AI Engine – MCP Server & AI Chatbot for WordPress, with Claude, ChatGPT & Gemini

CVE-2026-110888

T−30d 15 oct. 2026
6,4 Media

CVE-2026-110890: cross-site scripting (XSS) en JetSmartFilters

CVE-2026-110890

T−30d 15 oct. 2026
6,4 Media

CVE-2026-110664: cross-site scripting (XSS) en Premium Packages – Sell Digital Products Securely

CVE-2026-110664

T−30d 15 oct. 2026
5,3 Media

CVE-2026-110367: falta de autorización en WC Shop Sync – Square Payment Gateway and Product Synchronization for WooCommerce

CVE-2026-110367

T−30d 15 oct. 2026
7,2 Alta

CVE-2026-97640: cross-site scripting (XSS) en WPConsent – Cookie Banner & Cookie Consent for Privacy Compliance (GDPR / CCPA / EU Compliance Cookie Notice)

CVE-2026-97640

T−30d 15 oct. 2026
4,3 Media

CVE-2026-110371: falta de autorización en Strong Testimonials

CVE-2026-110371

T−30d 15 oct. 2026
2,7 Baja

CVE-2026-109401: exposición de información sensible en WP Mail Logging

CVE-2026-109401

T−30d 15 oct. 2026
8,8 Alta

CVE-2026-92115: inyección de comandos en WP Photo Album Plus

CVE-2026-92115

T−30d 15 oct. 2026
4,3 Media

CVE-2026-19798: falta de autorización en WP Map Block – Google Maps, OpenStreetMap, Mapbox, Store & Shop Locator, Directory, Listings & Filters

CVE-2026-19798

T−30d 15 oct. 2026
5,3 Media

CVE-2026-107646: exposición de información sensible en HUSKY – Products Filter for WooCommerce Professional. MCP is onboard

CVE-2026-107646

T−30d 15 oct. 2026
4,9 Media

CVE-2026-111178: inyección SQL en WP Booking System – Booking Calendar

CVE-2026-111178

T−30d 15 oct. 2026
4,8 Media

CVE-2026-104755: gestión incorrecta de privilegios en WP Compress – Instant Performance & Speed Optimization

CVE-2026-104755

T−30d 15 oct. 2026
5,4 Media

CVE-2026-15222: inyección de código en User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder

CVE-2026-15222

T−30d 15 oct. 2026
6,5 Media

CVE-2026-109414: inyección SQL en Vitepos – Point of Sale (POS) for WooCommerce

CVE-2026-109414

T−30d 15 oct. 2026
7,2 Alta

CVE-2026-103999: cross-site scripting (XSS) en Ultra Addons for Contact Form 7

CVE-2026-103999

T−30d 15 oct. 2026
6,4 Media

CVE-2026-97470: cross-site scripting (XSS) en Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental

CVE-2026-97470

T−30d 15 oct. 2026
6,4 Media

CVE-2026-103480: cross-site scripting (XSS) en Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental

CVE-2026-103480

T−30d 15 oct. 2026
8,0 Alta

CVE-2026-104932: deserialización de datos no fiables en Search Regex

CVE-2026-104932

T−30d 15 oct. 2026
9,8 Crít.

CVE-2026-89079: gestión incorrecta de privilegios en Theme My Login

CVE-2026-89079

T−30d 15 oct. 2026
7,5 Alta

CVE-2026-103896: recorrido de rutas (path traversal) en 10Web Booster – Website speed optimization, Cache & Page Speed optimizer

CVE-2026-103896

T−30d 15 oct. 2026