CVE-2026-109218: RCE crítico en plugin Contact Manager
CVE-2026-109218 permite subir archivos ejecutables sin autenticación en kleor Contact Manager hasta la versión 9.1.2, con CVSS 9.8.
CVE-2026-85655: falla en Enable Media Replace de WordPress
CVE-2026-85655 es una falla de autorización en Enable Media Replace reportada por Wordfence, corregida en la versión 4.2.3 del plugin de WordPress.
AMP for WP: XSS almacenado compromete sitios WordPress
La CVE-2026-97019 permite XSS almacenado en AMP for WP hasta la versión 1.1.17, sin privilegios ni interacción del usuario.
Pie Register Premium: RCE crítico sin login (CVSS 9.8)
CVE-2026-84999 afecta Pie Register Premium hasta 3.8.4.0: subida de archivos sin autenticar que permite ejecución remota de código. Sin parche oficial aún.
CSRF crítico (CVSS 9.6) en plugin Newsletters de WordPress
CVE-2026-116863 es una vulnerabilidad CSRF crítica (CVSS 9.6) en el plugin Newsletters de Tribulant que afecta versiones hasta 4.18.2.
3 CVEs dejan falsificar pagos en plugins de WooCommerce
WPScan divulgó tres CVEs en plugins de pago para WooCommerce (Wompi, Payex, TiendaCrypto) que permiten falsificar pagos sin autenticación.
Qode Membership: bypass crítico permite tomar cuentas admin
CVE-2026-92885 expone un bypass de autenticación crítico en Qode Membership que permite tomar cuentas admin sin contraseña.
CVE-2026-115251 Duplicator: falla en multisitio
CVE-2026-115251 permite a un administrador de subsitio ejecutar PHP arbitrario en Duplicator y comprometer toda una red multisitio de WordPress.
WP Stripe Checkout: vulnerabilidad permite pagos falsos
CVE-2026-110285 permite falsificar pagos en WP Stripe Checkout sin autenticación. Afecta versiones anteriores a 1.2.2.62, ya corregidas.