[■] Gestor de contenidos

WordPress

Web oficial

43.917 expedientes en el radar

Comprueba tu versión de WordPress Sólo las que se están explotando

[■] Para hacerlo bien

Guías

Actualizar WordPress, plugins y temas sin romper la web
Qué se actualiza solo en WordPress, cómo prepararte antes de actualizar, qué hacer si algo se rompe y qué significan los avisos de plugins abandonados.
Cómo leer una vulnerabilidad: CVE, CVSS y «se está explotando»
Qué significan el identificador CVE, la puntuación CVSS, el catálogo KEV y la probabilidad EPSS, y cómo saber si tu versión está afectada.
Lo básico para proteger WordPress
Las medidas que recomienda la documentación oficial de WordPress para proteger una web: accesos, verificación en dos pasos, wp-config.php, permisos, HTTPS y copias.
Qué versión de PHP usa tu web y por qué tiene que tener soporte
Cómo saber qué PHP tiene tu web, qué ramas reciben hoy parches de seguridad y cuándo dejan de recibirlos, y qué pide WordPress.
Mi WordPress ha sido hackeado: qué hacer, paso a paso
Cómo saber si tu web WordPress está comprometida, qué hacer en la primera hora, cómo limpiarla y cómo pedir a Google que quite el aviso.

[■] Registro

Vulnerabilidades (43.917)

8,1 Alta

CVE-2026-66481: recorrido de rutas (path traversal) en Presto Player Pro

CVE-2026-66481

T−38d 8 oct. 2026
6,4 Media

CVE-2026-62127: cross-site scripting (XSS) en WP Plugin Info Card – Showcase Beautiful Plugin Cards, Theme Cards, and GitHub Repos Anywhere

CVE-2026-62127

T−38d 8 oct. 2026
4,3 Media

CVE-2026-66479: falsificación de peticiones (CSRF) en WPComplete

CVE-2026-66479

T−38d 8 oct. 2026
8,1 Alta

CVE-2026-62066: inclusión de ficheros en PHP en Volos - One Page Resume WordPress Theme

CVE-2026-62066

T−38d 8 oct. 2026
8,1 Alta

CVE-2026-62075: inclusión de ficheros en PHP en Backhoe - Construction Equipment Rentals WordPress Theme

CVE-2026-62075

T−38d 8 oct. 2026
8,1 Alta

CVE-2026-62065: inclusión de ficheros en PHP en Cardea - Portfolio One Page WordPress Theme

CVE-2026-62065

T−38d 8 oct. 2026
6,5 Media

CVE-2026-107321: recorrido de rutas (path traversal) en W3 Total Cache

CVE-2026-107321

T−38d 8 oct. 2026
5,3 Media

CVE-2026-105878: falta de autorización en YITH WooCommerce Product Bundles

CVE-2026-105878

T−38d 8 oct. 2026
4,4 Media

CVE-2026-104754: cross-site scripting (XSS) en Rank Math SEO – AI SEO Tools to Dominate SEO Rankings

CVE-2026-104754

T−38d 8 oct. 2026
2,7 Baja

CVE-2026-105195: exposición de información sensible en Booking Calendar

CVE-2026-105195

T−38d 8 oct. 2026
4,3 Media

CVE-2026-62142: falsificación de peticiones (CSRF) en WP 2FA – Two-factor authentication for WordPress

CVE-2026-62142

T−38d 8 oct. 2026
2,7 Baja

CVE-2026-94258: exposición de información sensible en SMS Alert – SMS Notifications & OTP Login, COD Verification, Abandoned Cart Recovery

CVE-2026-94258

T−38d 8 oct. 2026
4,3 Media

CVE-2026-103072: falta de autorización en VillaTheme Core

CVE-2026-103072

T−38d 8 oct. 2026
6,4 Media

CVE-2026-105079: cross-site scripting (XSS) en MasterStudy LMS WordPress Plugin – for Online Courses and Education

CVE-2026-105079

T−38d 8 oct. 2026
5,3 Media

CVE-2026-94275: exposición de información sensible en Track Orders for WooCommerce – Multi Carrier WooCommerce Shipping

CVE-2026-94275

T−38d 8 oct. 2026
4,3 Media

CVE-2026-104645: acceso a datos de otros usuarios (IDOR) en Image Photo Gallery Final Tiles Grid

CVE-2026-104645

T−38d 8 oct. 2026
4,3 Media

CVE-2026-85571: acceso a datos de otros usuarios (IDOR) en Tutor LMS – eLearning and online course solution

CVE-2026-85571

T−38d 8 oct. 2026
5,3 Media

CVE-2026-105989: falta de autorización en Accept PayPal Payments using Contact Form 7

CVE-2026-105989

T−38d 8 oct. 2026
8,1 Alta

CVE-2026-66568: deserialización de datos no fiables en Original

CVE-2026-66568

T−38d 8 oct. 2026
4,9 Media

CVE-2026-104753: inyección SQL en Rank Math SEO – AI SEO Tools to Dominate SEO Rankings

CVE-2026-104753

T−38d 8 oct. 2026
4,9 Media

CVE-2026-86828: recorrido de rutas (path traversal) en BackWPup – WordPress Backup & Restore Plugin

CVE-2026-86828

T−38d 8 oct. 2026
4,3 Media

CVE-2026-105976: autorización incorrecta en Portfolio Filter Gallery – Photo Gallery

CVE-2026-105976

T−38d 8 oct. 2026
6,5 Media

CVE-2026-103071: inyección de código en Thanko Thank You Page Customizer for WooCommerce

CVE-2026-103071

T−38d 8 oct. 2026
7,5 Alta

CVE-2026-87781: inyección SQL en LTL Freight Quotes – ODFL Edition

CVE-2026-87781

T−38d 8 oct. 2026
8,1 Alta

CVE-2026-62086: deserialización de datos no fiables en Juno | Kids Toys & Games Store WordPress Theme

CVE-2026-62086

T−38d 8 oct. 2026
4,3 Media

CVE-2026-105196: acceso a datos de otros usuarios (IDOR) en Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress

CVE-2026-105196

T−38d 8 oct. 2026
6,4 Media

CVE-2026-107323: cross-site scripting (XSS) en Gallery PhotoBlocks

CVE-2026-107323

T−38d 8 oct. 2026
7,2 Alta

CVE-2026-103309: cross-site scripting (XSS) en GPTranslate – Multilingual AI Translation Agent for WordPress: Translate Your Site with AI

CVE-2026-103309

T−38d 8 oct. 2026
5,3 Media

CVE-2026-86827: falta de autorización en BackWPup – WordPress Backup & Restore Plugin

CVE-2026-86827

T−38d 8 oct. 2026
4,3 Media

CVE-2026-105197: acceso a datos de otros usuarios (IDOR) en Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress

CVE-2026-105197

T−38d 8 oct. 2026