AMP for WP: XSS almacenado compromete sitios WordPress
La CVE-2026-97019 permite XSS almacenado en AMP for WP hasta la versión 1.1.17, sin privilegios ni interacción del usuario.
Pie Register Premium: RCE crítico sin login (CVSS 9.8)
CVE-2026-84999 afecta Pie Register Premium hasta 3.8.4.0: subida de archivos sin autenticar que permite ejecución remota de código. Sin parche oficial aún.
CSRF crítico (CVSS 9.6) en plugin Newsletters de WordPress
CVE-2026-116863 es una vulnerabilidad CSRF crítica (CVSS 9.6) en el plugin Newsletters de Tribulant que afecta versiones hasta 4.18.2.
3 CVEs dejan falsificar pagos en plugins de WooCommerce
WPScan divulgó tres CVEs en plugins de pago para WooCommerce (Wompi, Payex, TiendaCrypto) que permiten falsificar pagos sin autenticación.
Qode Membership: bypass crítico permite tomar cuentas admin
CVE-2026-92885 expone un bypass de autenticación crítico en Qode Membership que permite tomar cuentas admin sin contraseña.
CVE-2026-115251 Duplicator: falla en multisitio
CVE-2026-115251 permite a un administrador de subsitio ejecutar PHP arbitrario en Duplicator y comprometer toda una red multisitio de WordPress.
WP Stripe Checkout: vulnerabilidad permite pagos falsos
CVE-2026-110285 permite falsificar pagos en WP Stripe Checkout sin autenticación. Afecta versiones anteriores a 1.2.2.62, ya corregidas.
aBlocks tiene una falla que escala Contributor a Editor
La vulnerabilidad aBlocks WordPress (CVE-2026-110018, CVSS 8.8) permite que un Contributor escale a Editor. Wordfence ya publicó un exploit público.
CVE-2026-115806: falla crítica en Prime Mover WordPress
CVE-2026-115806 permite ejecución remota de código en Prime Mover sin autenticación, vía deserialización PHP en comentarios. Fix en versión 2.2.2.