aBlocks tiene una falla que escala Contributor a Editor
La vulnerabilidad aBlocks WordPress (CVE-2026-110018, CVSS 8.8) permite que un Contributor escale a Editor. Wordfence ya publicó un exploit público.
CVE-2026-115806: falla crítica en Prime Mover WordPress
CVE-2026-115806 permite ejecución remota de código en Prime Mover sin autenticación, vía deserialización PHP en comentarios. Fix en versión 2.2.2.
asVereinbase vulnerabilidad WordPress: CVE crítica 9.8
La CVE-2026-110956 en asVereinbase permite login como administrador sin credenciales. Score 9.8 según CISA ADP. Actualizá a 1.1.8 ya.
ACF Extended: dos fallas corregidas en la versión 0.9.2.8
ACF Extended corrige CVE-2026-94263 (inyección de shortcodes) y CVE-2026-94264 (XSS) en la versión 0.9.2.8. Qué sitios están afectados y cómo actualizar.
Vulnerabilidad GTM Server Side filtra pedidos WooCommerce
CVE-2026-55826 permite a un atacante no autenticado ver pedidos ajenos en WooCommerce manipulando cookies del plugin GTM Server Side. CVSS 8.7, ya corregido en la 2.1.48.
CVE-2026-115497: fallo grave en el plugin Music Store
CVE-2026-115497 afecta al plugin Music Store de CodePeople hasta la versión 1.4.7, permitiendo lectura de archivos del servidor sin autenticación.
Vulnerabilidad ACF Extended: path traversal CVSS 6.5
CVE-2026-112311 permite borrar archivos sin autenticación en ACF Extended hasta la versión 0.9.2.7. La actualización 0.9.2.8 corrige la falla.
CVE-2026-114570: XSS en Quick Edit de WordPress
Wordfence documentó CVE-2026-114570, un XSS almacenado en Quick Edit de WordPress Core. El parche existe desde agosto con la versión 7.0.3.
Ajax Search Lite: actualizá ya por el CVE-2026-111852
WPdreams lanzó la versión 4.14.7 de Ajax Search Lite para corregir el CVE-2026-111852, una SQL injection crítica explotable sin autenticación.