CVE-2026-115251 Duplicator: falla en multisitio
CVE-2026-115251 permite a un administrador de subsitio ejecutar PHP arbitrario en Duplicator y comprometer toda una red multisitio de WordPress.
WP Stripe Checkout: vulnerabilidad permite pagos falsos
CVE-2026-110285 permite falsificar pagos en WP Stripe Checkout sin autenticación. Afecta versiones anteriores a 1.2.2.62, ya corregidas.
aBlocks tiene una falla que escala Contributor a Editor
La vulnerabilidad aBlocks WordPress (CVE-2026-110018, CVSS 8.8) permite que un Contributor escale a Editor. Wordfence ya publicó un exploit público.
CVE-2026-115806: falla crítica en Prime Mover WordPress
CVE-2026-115806 permite ejecución remota de código en Prime Mover sin autenticación, vía deserialización PHP en comentarios. Fix en versión 2.2.2.
asVereinbase vulnerabilidad WordPress: CVE crítica 9.8
La CVE-2026-110956 en asVereinbase permite login como administrador sin credenciales. Score 9.8 según CISA ADP. Actualizá a 1.1.8 ya.
ACF Extended: dos fallas corregidas en la versión 0.9.2.8
ACF Extended corrige CVE-2026-94263 (inyección de shortcodes) y CVE-2026-94264 (XSS) en la versión 0.9.2.8. Qué sitios están afectados y cómo actualizar.
Vulnerabilidad GTM Server Side filtra pedidos WooCommerce
CVE-2026-55826 permite a un atacante no autenticado ver pedidos ajenos en WooCommerce manipulando cookies del plugin GTM Server Side. CVSS 8.7, ya corregido en la 2.1.48.
CVE-2026-115497: fallo grave en el plugin Music Store
CVE-2026-115497 afecta al plugin Music Store de CodePeople hasta la versión 1.4.7, permitiendo lectura de archivos del servidor sin autenticación.
Vulnerabilidad ACF Extended: path traversal CVSS 6.5
CVE-2026-112311 permite borrar archivos sin autenticación en ACF Extended hasta la versión 0.9.2.7. La actualización 0.9.2.8 corrige la falla.