[■] Gestor de contenidos

WordPress

Web oficial

43.917 expedientes en el radar

Comprueba tu versión de WordPress Sólo las que se están explotando

[■] Para hacerlo bien

Guías

Actualizar WordPress, plugins y temas sin romper la web
Qué se actualiza solo en WordPress, cómo prepararte antes de actualizar, qué hacer si algo se rompe y qué significan los avisos de plugins abandonados.
Cómo leer una vulnerabilidad: CVE, CVSS y «se está explotando»
Qué significan el identificador CVE, la puntuación CVSS, el catálogo KEV y la probabilidad EPSS, y cómo saber si tu versión está afectada.
Lo básico para proteger WordPress
Las medidas que recomienda la documentación oficial de WordPress para proteger una web: accesos, verificación en dos pasos, wp-config.php, permisos, HTTPS y copias.
Qué versión de PHP usa tu web y por qué tiene que tener soporte
Cómo saber qué PHP tiene tu web, qué ramas reciben hoy parches de seguridad y cuándo dejan de recibirlos, y qué pide WordPress.
Mi WordPress ha sido hackeado: qué hacer, paso a paso
Cómo saber si tu web WordPress está comprometida, qué hacer en la primera hora, cómo limpiarla y cómo pedir a Google que quite el aviso.

[■] Registro

Vulnerabilidades (43.917)

7,3 Alta

CVE-2026-96539: gestión incorrecta de privilegios en Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin

CVE-2026-96539

T−44d 2 oct. 2026
7,5 Alta

CVE-2026-103355: inyección SQL en Unlimited Elements for Elementor

CVE-2026-103355

T−44d 2 oct. 2026
7,5 Alta

CVE-2026-95534: deserialización de datos no fiables en Unlimited Elements for Elementor

CVE-2026-95534

T−44d 2 oct. 2026
6,1 Media

CVE-2026-103344: cross-site scripting (XSS) en Unlimited Elements for Elementor

CVE-2026-103344

T−44d 2 oct. 2026
7,2 Alta

CVE-2026-94662: cross-site scripting (XSS) en Unlimited Elements for Elementor

CVE-2026-94662

T−44d 2 oct. 2026
7,2 Alta

CVE-2026-103062: cross-site scripting (XSS) en TranslatePress – Translate Multilingual sites with AI Translation

CVE-2026-103062

T−44d 2 oct. 2026
5,3 Media

CVE-2026-96335: falta de autorización en Forminator Forms – Contact Form, Payment Form & Custom Form Builder

CVE-2026-96335

T−44d 2 oct. 2026
5,3 Media

CVE-2026-96336: vulnerabilidad en Forminator Forms – Contact Form, Payment Form & Custom Form Builder

CVE-2026-96336

T−44d 2 oct. 2026
6,1 Media

CVE-2026-97276: cross-site scripting (XSS) en WP Statistics – Simple, privacy-friendly Google Analytics alternative

CVE-2026-97276

T−44d 2 oct. 2026
7,2 Alta

CVE-2026-103354: cross-site scripting (XSS) en Kadence Blocks — Page Builder Toolkit for Gutenberg Editor

CVE-2026-103354

T−44d 2 oct. 2026
8,1 Alta

CVE-2026-95606: deserialización de datos no fiables en The Events Calendar

CVE-2026-95606

T−44d 2 oct. 2026
5,3 Media

CVE-2026-104118: acceso a datos de otros usuarios (IDOR) en Razorpay for WooCommerce

CVE-2026-104118

T−44d 2 oct. 2026
4,4 Media

CVE-2026-104119: cross-site scripting (XSS) en Simple Shopping Cart

CVE-2026-104119

T−44d 2 oct. 2026
5,3 Media

CVE-2026-84169: acceso a datos de otros usuarios (IDOR) en UPI QR Code Payment Gateway

CVE-2026-84169

T−44d 2 oct. 2026
5,3 Media

CVE-2026-39601: condición de carrera en Booking Calendar

CVE-2026-39601

T−44d 2 oct. 2026
4,3 Media

CVE-2026-32582: falta de autorización en IATO MCP

CVE-2026-32582

T−44d 2 oct. 2026
5,3 Media

CVE-2026-78371: acceso a datos de otros usuarios (IDOR) en File Uploads Addon for WooCommerce

CVE-2026-78371

T−44d 2 oct. 2026
4,3 Media

CVE-2026-86817: exposición de información sensible en Five Star Business Profile and Schema

CVE-2026-86817

T−44d 2 oct. 2026
6,5 Media

CVE-2026-19856: inyección de código en All in One SEO – AI SEO Plugin to Boost SEO Rankings & Traffic (Schema, Local SEO, Sitemap & SEO Insights)

CVE-2026-19856

T−44d 2 oct. 2026
5,3 Media

CVE-2026-97332: falta de autorización en User Private Files – Secure File Sharing and Client Portal Plugin

CVE-2026-97332

T−44d 2 oct. 2026
6,4 Media

CVE-2026-102798: cross-site scripting (XSS) en ThemeREX Addons

CVE-2026-102798

T−44d 2 oct. 2026
7,5 Alta

CVE-2026-96327: inyección SQL en WPLMS Plugin

CVE-2026-96327

T−44d 2 oct. 2026
7,3 Alta

CVE-2026-39600: redirección abierta en Aculect AI Companion

CVE-2026-39600

T−44d 2 oct. 2026
5,3 Media

CVE-2026-13607: falta de autorización en File Uploads Addon for WooCommerce

CVE-2026-13607

T−44d 2 oct. 2026
8,8 Alta

CVE-2026-93549: falsificación de peticiones (CSRF) en CoCart – Headless REST API for WooCommerce

CVE-2026-93549

T−44d 2 oct. 2026
6,4 Media

CVE-2026-102797: falsificación de peticiones del servidor (SSRF) en ThemeREX Addons

CVE-2026-102797

T−44d 2 oct. 2026
5,3 Media

CVE-2026-96333: vulnerabilidad en GiveWP – Donation Plugin and Fundraising Platform

CVE-2026-96333

T−44d 2 oct. 2026
7,2 Alta

CVE-2026-93430: cross-site scripting (XSS) en GD Rating System

CVE-2026-93430

T−44d 2 oct. 2026
9,8 Crít.

CVE-2026-94541: falta de autorización en WPMobile.App – Android and iOS App Builder

CVE-2026-94541

T−44d 1 oct. 2026
7,2 Alta

CVE-2026-87920: cross-site scripting (XSS) en W3 Total Cache

CVE-2026-87920

T−44d 1 oct. 2026