[■] Gestor de contenidos

WordPress

Web oficial

43.917 expedientes en el radar

Comprueba tu versión de WordPress Sólo las que se están explotando

[■] Para hacerlo bien

Guías

Actualizar WordPress, plugins y temas sin romper la web
Qué se actualiza solo en WordPress, cómo prepararte antes de actualizar, qué hacer si algo se rompe y qué significan los avisos de plugins abandonados.
Cómo leer una vulnerabilidad: CVE, CVSS y «se está explotando»
Qué significan el identificador CVE, la puntuación CVSS, el catálogo KEV y la probabilidad EPSS, y cómo saber si tu versión está afectada.
Lo básico para proteger WordPress
Las medidas que recomienda la documentación oficial de WordPress para proteger una web: accesos, verificación en dos pasos, wp-config.php, permisos, HTTPS y copias.
Qué versión de PHP usa tu web y por qué tiene que tener soporte
Cómo saber qué PHP tiene tu web, qué ramas reciben hoy parches de seguridad y cuándo dejan de recibirlos, y qué pide WordPress.
Mi WordPress ha sido hackeado: qué hacer, paso a paso
Cómo saber si tu web WordPress está comprometida, qué hacer en la primera hora, cómo limpiarla y cómo pedir a Google que quite el aviso.

[■] Registro

Vulnerabilidades (43.917)

8,1 Alta

CVE-2026-62020: inclusión de ficheros en PHP en TouchUp - Cosmetic and Plastic Surgery WordPress Theme

CVE-2026-62020

T−37d 9 oct. 2026
4,3 Media

CVE-2026-107694: exposición de información sensible en Dokan: AI Powered WooCommerce Multivendor Marketplace Solution – Build Your Own Amazon, eBay, Etsy

CVE-2026-107694

T−37d 9 oct. 2026
5,4 Media

CVE-2026-104022: gestión incorrecta de privilegios en Academy LMS – AI Course Builder, Quizzes, Certificates & eLearning

CVE-2026-104022

T−37d 9 oct. 2026
7,5 Alta

CVE-2026-89299: inyección SQL en WP Verify API

CVE-2026-89299

T−37d 9 oct. 2026
5,3 Media

CVE-2026-84254: falta de autorización en click5 CRM add-on to Contact Form 7

CVE-2026-84254

T−37d 9 oct. 2026
7,5 Alta

CVE-2026-89214: inyección SQL en WpCues Basic Quiz

CVE-2026-89214

T−37d 9 oct. 2026
7,2 Alta

CVE-2026-87760: cross-site scripting (XSS) en Web Vitals Tracking

CVE-2026-87760

T−37d 9 oct. 2026
3,1 Baja

CVE-2026-88785: exposición de información sensible en Simple Membership

CVE-2026-88785

T−37d 9 oct. 2026
5,5 Media

CVE-2026-84224: falsificación de peticiones del servidor (SSRF) en Kirki – Freeform Page Builder, Website Builder & Customizer

CVE-2026-84224

T−37d 9 oct. 2026
4,3 Media

CVE-2026-104681: exposición de información sensible en Envira Gallery – Image Photo Gallery, Albums, Video Gallery, Slideshows & More

CVE-2026-104681

T−37d 9 oct. 2026
7,2 Alta

CVE-2026-84261: cross-site scripting (XSS) en click5 CRM add-on to Contact Form 7

CVE-2026-84261

T−37d 9 oct. 2026
5,3 Media

CVE-2026-62038: falta de autorización en eRoom – Webinar & Meeting Plugin for Zoom, Google Meet, Microsoft Teams

CVE-2026-62038

T−37d 9 oct. 2026
4,3 Media

CVE-2026-62036: exposición de información sensible en All Bootstrap Blocks

CVE-2026-62036

T−37d 9 oct. 2026
7,5 Alta

CVE-2026-89232: inyección SQL en Recordbrowser

CVE-2026-89232

T−37d 9 oct. 2026
4,9 Media

CVE-2026-108124: inyección SQL en WP Post Author – Author Box, Multiple Authors, Guest Authors & Custom Avatars

CVE-2026-108124

T−37d 9 oct. 2026
9,8 Crít.

CVE-2026-84737: vulnerabilidad en Freeton WP

CVE-2026-84737

T−37d 9 oct. 2026
4,3 Media

CVE-2026-84167: acceso a datos de otros usuarios (IDOR) en Hotel Booking

CVE-2026-84167

T−37d 9 oct. 2026
4,3 Media

CVE-2026-107507: autorización incorrecta en Squadeno – Club Sports Manager

CVE-2026-107507

T−37d 9 oct. 2026
4,3 Media

CVE-2026-104079: falta de autorización en Envira Gallery – Image Photo Gallery, Albums, Video Gallery, Slideshows & More

CVE-2026-104079

T−37d 9 oct. 2026
7,5 Alta

CVE-2026-88930: inyección SQL en Social Web Suite – Social Media Auto Post, Social Media Auto Publish

CVE-2026-88930

T−37d 9 oct. 2026
5,3 Media

CVE-2026-85121: falta de autorización en Insurify – Order & Shipping Protection

CVE-2026-85121

T−37d 9 oct. 2026
7,5 Alta

CVE-2026-89287: inyección SQL en ASPL Product Quotation

CVE-2026-89287

T−37d 9 oct. 2026
4,3 Media

CVE-2026-84166: falsificación de peticiones (CSRF) en Hotel Booking

CVE-2026-84166

T−37d 9 oct. 2026
6,5 Media

CVE-2026-84220: inyección de código en Kirki – Freeform Page Builder, Website Builder & Customizer

CVE-2026-84220

T−37d 9 oct. 2026
7,2 Alta

CVE-2026-84259: cross-site scripting (XSS) en click5 CRM add-on to WPForms

CVE-2026-84259

T−37d 9 oct. 2026
7,5 Alta

CVE-2026-89195: inyección SQL en Site Setup Wizard

CVE-2026-89195

T−37d 9 oct. 2026
6,4 Media

CVE-2026-62039: cross-site scripting (XSS) en HTML5 Audio Player – The Ultimate No-Code Podcast, MP3 & Audio Player

CVE-2026-62039

T−37d 9 oct. 2026
7,2 Alta

CVE-2026-88905: cross-site scripting (XSS) en KeyWord Collector

CVE-2026-88905

T−37d 9 oct. 2026
4,3 Media

CVE-2026-39779: falta de autorización en Asgaros Forum

CVE-2026-39779

T−37d 9 oct. 2026
7,2 Alta

CVE-2026-88826: cross-site scripting (XSS) en SmugMug Embed

CVE-2026-88826

T−37d 9 oct. 2026