Una falla en Shared Files deja que visitantes anónimos suban archivos sin verificación de permisos — la protección se reduce a un token público.
Wordfence y Patchstack reportaron vulnerabilidades en WPMU DEV Dashboard, Avada, TranslatePress, Pods y GiveWP que permiten toma de cuentas sin credenciales.
CVE-2026-77116 permite que suscriptores y clientes de tiendas lean información de ventanas emergentes sin autorización en sitios que usan Brave
Un kit de $10.000 vendido en foros rusos inscribe passkeys del atacante en cuentas de Google comprometidas, manteniendo acceso permanente
Check Point descubrió que BTR.sys, componente legítimo de remediación de Microsoft, puede ser reprogramado para borrar archivos del sistema y modificar el registro desde el kernel — sin explotar ninguna vulnerabilidad.
Una falla en el plugin permite a instructores leer archivos críticos del servidor, incluido wp-config.php con claves de base de
CVE-2026-75027 expone cómo un nonce público convierte una verificación de seguridad en puerta abierta para modificar estilos en cualquier contenido.
CVE-2026-2996 afecta todas las versiones hasta 1.6.21 de Advanced Product Fields y permite a atacantes sin credenciales saltear addons pagos obligatorios.
Una vulnerabilidad SSRF en Mailgun for WordPress expone la clave API del sitio y habilita la creación de rutas de
La agencia estadounidense agregó CVE-2026-73570 a su catálogo KEV luego de que CERT Polska detectara ataques activos contra servidores de correo corporativo
