Alertas de Seguridad de la Información

M Alto vulnerabilidad

25/09/2026

Vulnerabilidad XSS almacenado en plugin Repeater Fields para Elementor Forms (CVE-2026-94573)

El plugin Repeater Fields for Elementor Forms en WordPress (versiones hasta 2.2.7) contiene una falla de validación que permite a atacantes sin autenticación inyectar scripts maliciosos en formularios. Los scripts ejecutados afectan a todos los usuarios que accedan a páginas con formularios comprometidos, comprometiendo datos sensibles en sitios empresariales y de e-commerce. Este riesgo es alta para organizaciones en LATAM que usan Elementor como constructor de sitios.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

25/09/2026

Vulnerabilidad XSD alta en Themify Builder para WordPress afecta sitios sin autenticación

El plugin Themify Builder para WordPress (versiones hasta 7.8.1) es vulnerable a inyección de scripts almacenados (Stored XSS) a través del parámetro 'css[fonts]' sin validación adecuada. Atacantes no autenticados pueden inyectar código malicioso que se ejecuta cuando usuarios acceden a páginas comprometidas, comprometiendo datos de administradores y visitantes en sitios empresariales de México y LATAM que usen este plugin.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

25/09/2026

Vulnerabilidad XLS almacenado en User Profile Builder para WordPress (CVE-2026-95866)

El plugin User Profile Builder para WordPress es vulnerable a inyección de scripts entre sitios (XLS) a través del campo de avatar en versiones hasta 4.0.2. Atacantes no autenticados pueden ejecutar código malicioso en páginas del sitio afectando a todos los visitantes. El riesgo es alta en sitios con registro público de usuarios.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

25/09/2026

Vulnerabilidad XSS almacenado en plugin Restaurant Menu and Food Ordering para WordPress (CVE-2026-96568)

El plugin Restaurant Menu and Food Ordering para WordPress presenta una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en el parámetro 'phone_number' hasta la versión 2.4.14, permitiendo a atacantes no autenticados inyectar scripts maliciosos que se ejecutan cuando usuarios visitan páginas comprometidas. Afecta principalmente a restaurantes, bares y negocios de comida en línea en LATAM que usan este plugin, exponiendo datos de clientes y comprometiendo la integridad de transacciones. Con CVSS 7.2, representa un riesgo considerable para plataformas de pedidos online.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

25/09/2026

Vulnerabilidad XSS almacenado en plugin Zero Spam para WordPress (CVE-2026-96752)

El plugin Zero Spam para WordPress es vulnerable a inyección de scripts maliciosos (XSS almacenado) en versiones hasta 5.7.10 mediante arrays POST anidados en integración con Contact Form 7. Atacantes no autenticados pueden ejecutar código JavaScript en páginas públicas cuando usuarios acceden a formularios comprometidos, afectando sitios empresariales, tiendas en línea y portales de atención al cliente en México y LATAM que usen este plugin.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

25/09/2026

Vulnerabilidad XSS almacenado alta en plugin Premium Packages para WordPress (CVE-2026-93654)

El plugin 'Premium Packages – Sell Digital Products Securely' para WordPress contiene una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en versiones hasta 7.2.1 que permite a atacantes no autenticados inyectar código malicioso a través del parámetro 'cart_items[][product_name]'. La falta de sanitización de entrada y escape de salida expone tiendas virtuales en LATAM a robo de credenciales, captura de datos de clientes y comprometimiento de transacciones. El riesgo es alto especialmente en comercios pequeños y medianos con bajo monitoreo de seguridad.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

25/09/2026

Escalación de privilegios alta en plugin Optima Express IDX para WordPress hasta v8.7.5

El plugin Optima Express IDX para WordPress contiene una vulnerabilidad de escalación de privilegios (CVSS 7.3) que permite a atacantes no autenticados ejecutar funciones administrativas a través de la acción AJAX `wp_ajax_nopriv_ihf_clear_cache`. La vulnerabilidad afecta todas las versiones hasta la 8.7.5 y expone sitios inmobiliarios y portales empresariales en México y LATAM que utilizan este plugin. Un atacante podría comprometer credenciales de autenticación y obtener acceso administrativo completo.

nvdaltovulnerabilidad CVSS 7.3 NVD

M Alto vulnerabilidad

25/09/2026

[CVE-2026-92608] Improper handling of property-encoding exceptions in AMQP 1.0-to-AMQP 0-10 message conversion allows…

Improper handling of property-encoding exceptions in AMQP 1.0-to-AMQP 0-10 message conversion allows authenticated message producers to disrupt delivery to AMQP 0-10 consumers via message properties that the target encoder does not handle correctly. This issue affects Apache Qpid Broker-J: through 10.1.0. Users are recommended to upgrade to version 10.1.1, which fixes the issue.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Crítico vulnerabilidad

25/09/2026

[CVE-2026-92609] Session fixation in HTTP management authentication allows remote attackers to gain unauthorized acce…

Session fixation in HTTP management authentication allows remote attackers to gain unauthorized access to an authenticated management session via reuse of a session identifier retained across successful authentication. This issue affects Apache Qpid Broker-J: through 10.1.0. Users are recommended to upgrade to version 10.1.1, which fixes the issue.

nvdcriticovulnerabilidad CVSS 9.8 NVD

M Alto vulnerabilidad

25/09/2026

Ejecución remota de código alta en plugin s2Member para WordPress (CVE-2026-19804)

El plugin s2Member para WordPress presenta una vulnerabilidad alta (CVSS 8.8) de ejecución remota de código en versiones hasta 260814. La validación insuficiente del parámetro 'first_name' permite a atacantes ejecutar código PHP arbitrario en servidores vulnerables. Afecta directamente a plataformas de membresías, paywalls de contenido y sistemas de suscripción implementados en sitios web de empresas en México y LATAM.

nvdaltovulnerabilidad CVSS 8.8 NVD

M Alto vulnerabilidad

25/09/2026

Vulnerabilidad de XSS almacenado alta en plugin Fancy Product Designer para WordPress

El plugin Fancy Product Designer (versiones hasta 6.5.2) para WordPress permite a atacantes no autenticados inyectar scripts maliciosos mediante el parámetro 'elements[].title' en shortcodes, ejecutándose cuando usuarios acceden a páginas comprometidas. Afecta tiendas en línea y sitios comerciales en México y LATAM que utilicen este plugin sin actualizar. El CVSS 7.2 refleja alto riesgo de compromiso de datos de clientes y defacement.

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

25/09/2026

Vulnerabilidad en plugin Modula Image Gallery para WordPress expone galerías privadas

El plugin Modula Image Gallery (versiones hasta 3.0.1) para WordPress contiene una falla de control de acceso que permite a atacantes acceder a galerías privadas sin autorización. La función Modula_Meta::add_metas() no valida el estado de publicación de las galerías, permitiendo divulgación no autorizada de contenido mediante parámetros GET. Afecta sitios WordPress en empresas y medios de LATAM que almacenan contenido sensible en galerías privadas.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Alto vulnerabilidad

25/09/2026

Vulnerabilidad de Inclusión de Archivos Locales en Plugin WP Maps para WordPress

El plugin WP Maps (versiones hasta 4.9.8) presenta una vulnerabilidad de Local File Inclusion (LFI) que permite a atacantes autenticados con acceso de suscriptor ejecutar archivos PHP arbitrarios en el servidor mediante el parámetro 'page'. Esta falla afecta directamente a sitios WordPress que utilizan este plugin en México y LATAM para gestionar ubicaciones de tiendas y directorios, comprometiendo la integridad del servidor y acceso a datos sensibles.

nvdaltovulnerabilidad CVSS 7.5 NVD

M Crítico vulnerabilidad

25/09/2026

CVE-2026-32157 Remote Desktop Client Remote Code Execution Vulnerability

Microsoft publica advisory de seguridad: CVE-2026-32157 Remote Desktop Client Remote Code Execution Vulnerability. Tipo: Ejecución Remota de Código (RCE).

rdprce Microsoft MSRC

M Crítico vulnerabilidad

25/09/2026

Vulnerabilidad crítica en plugin Bookly para WordPress permite acceso no autorizado a datos de reservas

El plugin Bookly para WordPress (versiones hasta 28.2) contiene una vulnerabilidad de Referencia Directa a Objetos (IDOR) en acciones AJAX que permite a atacantes acceder y manipular datos de reservas, sesiones y órdenes sin autenticación. Afecta directamente a negocios de servicios en LATAM que usan este plugin para gestionar citas y pagos online, exponiendo información de clientes y transacciones.

nvdcriticovulnerabilidad CVSS 9.1 NVD

M Alto vulnerabilidad

25/09/2026

[CVE-2026-96039] The BA Book Everything plugin for WordPress is vulnerable to Stored Cross-Site Scripting via first_n…

The BA Book Everything plugin for WordPress is vulnerable to Stored Cross-Site Scripting via first_name Parameter in all versions up to, and including, 1.8.27 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. An unauthenticated attacke…

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

25/09/2026

[CVE-2026-84281] The Fancy Product Designer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'pr…

The Fancy Product Designer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'productTitle' in '_fpd_data' Order Item Meta in all versions up to, and including, 6.5.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page…

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

25/09/2026

[CVE-2026-93303] The HT Contact Form – Drag & Drop Form Builder for WordPress plugin for WordPress is vulnerable to S…

The HT Contact Form – Drag & Drop Form Builder for WordPress plugin for WordPress is vulnerable to Stored DOM-Based Cross-Site Scripting via 'form_data' Rich Text Field via Draft Save/Resume in all versions up to, and including, 2.10.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will …

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

25/09/2026

[CVE-2026-83591] The AMP for WP – Accelerated Mobile Pages plugin for WordPress is vulnerable to Stored Cross-Site Sc…

The AMP for WP – Accelerated Mobile Pages plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content via Regex Transformation in all versions up to, and including, 1.1.16 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an in…

nvdaltovulnerabilidad CVSS 7.2 NVD

M Alto vulnerabilidad

25/09/2026

[CVE-2026-84279] The Fancy Product Designer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the…

The Fancy Product Designer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'output_format' parameter in all versions up to, and including, 6.5.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires …

nvdaltovulnerabilidad CVSS 7.2 NVD