ListingPro < 2.6.1 - Arbitrary Plugin Installation/Activation/Deactivation

The ListingPro - WordPress Directory & Listing Theme for WordPress is vulnerable to Arbitrary Plugin Installation, Activation and Deactivation in versions before 2.6.1. This is due to a missing capability check on the lpccaddonsactions function. This makes it possible for unauthenticated attacker...

Recover WooCommerce Cart Abandonment, Newsletter, Email Marketing, Marketing Automation By FunnelKit - Broken Access Control

The Recover WooCommerce Cart Abandonment, Newsletter, Email Marketing, Marketing Automation By FunnelKit plugin for WordPress is vulnerable to unauthorized arbitrary plugin installation due to a missing capability check on the installoractivateaddonplugins function and a weak nonce hash in all...

CVE-2021-24356

CVE-2021-24356 Simple 301 Redirects by BetterLinks - 2.0.0 – 2.0.3 - 订阅者 + 任意插件安装 Description 该插件中的 AJAX 操作缺乏权限检查且 nonce 检查不充分，使得经过身份验证的用户可以在易受攻击的站点上安装任意插件。 使用方法 $ python3 CVE-2021-24356.py --url http://wordpress.lan --username user --password useruser1 --slug betterlinks Getting REST API Nonce!...

CVE-2025-1562

CVE-2025-1562 POST /index.php?restroute=%2Fautonami-app%2Fplugin%2Finstallandactivate&bwf-nonce=0f2449cddf9a7d692627071cfdef9ecf HTTP/2 Host: wp.192.168.31.110.nip.io User-Agent: Mozilla/5.0 Windows NT 10.0; Win64; x64 AppleWebKit/537.36 KHTML, like Gecko Chrome/91.0.4472.124 Safari/537.36...

CVE-2024-10578

CVE-2024-10578: Pubnews = 1.0.7 - 未经认证的任意插件安装 描述 Pubnews WordPress 主题在所有版本（包括 1.0.7）中，由于 pubnewsimporterpluginactionfornotice 函数缺少权限检查，导致存在未经授权的任意插件安装漏洞。此漏洞允许拥有订阅者级别及以上的已认证攻击者安装任意插件，进而可利用这些插件来利用其他漏洞。 CWE CWE-434: 危险类型文件的不受限制上传 CVSS 评分: 8.8 高危 版本: 3.1 向量字符串:...

CVE-2025-55449-AstrBot-RCE

介绍 AstrBot=3.5.17在源码中硬编码了JWT secret，导致可以任意上传插件，实现RCE 使用 python main.py 'http://127.0.0.1:6185' 源码 https://github.com/AstrBotDevs/AstrBot.git...

CVE-2024-25092

Exploit CVE-2024-25092 Resumen CVE-2024-25092 es una vulnerabilidad de alta gravedad que afecta al plugin NextMove Lite de WordPress versiones = 2.17.0. Esta vulnerabilidad permite a un usuario con nivel suscriptor o superior instalar y activar plugins arbitrarios en un sitio de WordPress debido ...

CVE-2025-2807

CVE-2025-2807: Plugin Motors Exploit por: Nxploited | Khaled Alenazi ⚠️ Resumen de la Vulnerabilidad Plugin: Motors 📅 Se espera que sea explotado masivamente debido a su simplicidad y su impacto crítico. 🚫 Detalles Técnicos Endpoint vulnerable: /wp-admin/admin-ajax.php Acción vulnerable:...

CVE-2024-10728

CVE-2024-10728 PostX var ultpoptionpanel =...

CVE-2025-1639

🔓 Script de Explotación para CVE-2025-1639 📝 Descripción El complemento Animation Addons for Elementor Pro para WordPress es vulnerable a la instalación arbitraria de plugins no autorizada debido a una verificación de capacidad faltante en la función installelementorpluginhandler en todas las...

CVE-2023-47840

CVE-2023-47840 Qode Essential Addons = 1.5.2 - Falta de autorización para la instalación/activación arbitraria de plugins por parte de usuarios autenticados Suscriptor+ Descripción: El plugin Qode Essential Addons para WordPress es vulnerable a la modificación no autorizada de datos debido a una...

CVE-2025-25101

🚀 CVE-2025-25101 - Complemento Munk Sites de WordPress = 1.0.7 - CSRF para instalación arbitraria de complementos 📌 Resumen CVE-2025-25101 es una vulnerabilidad de Cross-Site Request Forgery CSRF en el complemento MetricThemes Munk Sites para WordPress versiones ≤ 1.0.7. Esta vulnerabilidad permi...

js-jobs

js-jobs JS Job Manager Para activar un plugin hay una limitación aquí, ya que el plugin debe...

CVE-2024-54369

CVE-2024-54369 Zita Site Builder = 1.0.2 - Autorización faltante para instalación arbitraria de plugins Descripción El plugin Zita Site Builder para WordPress es vulnerable a acceso no autorizado de funcionalidad debido a una falta de verificación de capacidades en una de sus funciones en version...

CVE-2023-6985

CVE-2023-6985 10Web AI Assistant – Asistente de escritura de contenido con IA = 1.0.18 - Autorización faltante para instalación/activación arbitraria de plugins por parte de usuarios autenticados Suscriptor+ Descripción Descripción El plugin 10Web AI Assistant – Asistente de escritura de contenid...

CVE-2025-32641

🛡️ Anant Addons for Elementor Anant Addons for Elementor body background-color: 111; color: 0f0; font-family: monospace; padding: 40px; h1 color: ff0055; font-size: 24px;...

CVE-2025-30911

Exploit para CVE-2025-30911 – WordPress RomethemeKit = 1.5.4 Este script explota una vulnerabilidad crítica en el plugin RomethemeKit For Elementor para WordPress = v1.5.4 que permite la instalación y activación arbitraria de plugins autenticados , lo que potencialmente lleva a Ejecución Remota d...

CVE-2024-10674

CVE-2024-10674 Exploit - Th Shop Mania = 1.4.9 🚀 Descripción general Este repositorio contiene un exploit para la vulnerabilidad identificada como CVE-2024-10674 en el tema de WordPress Th Shop Mania. La vulnerabilidad permite a usuarios autenticados con al menos acceso de nivel Subscriber instal...

AlmaLinux 9.2 [TuxCare] Security Update: autocorr-af / autocorr-bg / autocorr-ca / autocorr-cs / autocorr-da / etc (ALMALINUX9.2:CLSA-2025:1744927038)

The AlmaLinux 9.2 host has packages installed that are affected by a vulnerability as referenced in the TuxCare ALMALINUX9.2:CLSA-2025:1744927038 advisory. - Improper Input Validation vulnerability in GStreamer integration of The Document Foundation LibreOffice allows an attacker to execute...

CVE-2026-88797

The Vayu X WordPress theme (versions prior to 1.0.6 ) is vulnerable to unauthorized plugin manipulation. The flaw exists because the theme fails to perform a capability check on a specific AJAX action and exposes the required nonce to all logged-in users. Consequently, any authenticated user, suc...