LogixFast Auth: falla crítica permite robar cuentas admin
LogixFast Auth antes de 1.0.4 tiene una falla crítica (CVSS 9.8) que permite tomar cuentas de WordPress sin autenticación. Ya hay parche disponible.
WordPress 7.1.4: miles de ataques detectados tras el parche
Wordfence detectó más de 18.500 solicitudes automatizadas contra la vulnerabilidad WordPress 7.1.4 en las primeras 21 horas tras el parche.
CVE-2026-109218: RCE crítico en plugin Contact Manager
CVE-2026-109218 permite subir archivos ejecutables sin autenticación en kleor Contact Manager hasta la versión 9.1.2, con CVSS 9.8.
CVE-2026-85655: falla en Enable Media Replace de WordPress
CVE-2026-85655 es una falla de autorización en Enable Media Replace reportada por Wordfence, corregida en la versión 4.2.3 del plugin de WordPress.
AMP for WP: XSS almacenado compromete sitios WordPress
La CVE-2026-97019 permite XSS almacenado en AMP for WP hasta la versión 1.1.17, sin privilegios ni interacción del usuario.
Pie Register Premium: RCE crítico sin login (CVSS 9.8)
CVE-2026-84999 afecta Pie Register Premium hasta 3.8.4.0: subida de archivos sin autenticar que permite ejecución remota de código. Sin parche oficial aún.
CSRF crítico (CVSS 9.6) en plugin Newsletters de WordPress
CVE-2026-116863 es una vulnerabilidad CSRF crítica (CVSS 9.6) en el plugin Newsletters de Tribulant que afecta versiones hasta 4.18.2.
3 CVEs dejan falsificar pagos en plugins de WooCommerce
WPScan divulgó tres CVEs en plugins de pago para WooCommerce (Wompi, Payex, TiendaCrypto) que permiten falsificar pagos sin autenticación.
Qode Membership: bypass crítico permite tomar cuentas admin
CVE-2026-92885 expone un bypass de autenticación crítico en Qode Membership que permite tomar cuentas admin sin contraseña.