CVE-2026-84820 WordPress Unlimited Elements For Elementor (Free Widgets, Addons, Templates) plugin <= 2.0.17 - Cross Site Scripting (XSS) vulnerability

Unauthenticated Cross Site Scripting XSS in Unlimited Elements For Elementor Free Widgets, Addons, Templates = 2.0.17 versions...

CVE-2026-84820

Unlimited Elements For Elementor (Free Widgets, Addons, Templates) WordPress plugin versions

WordPress Beaver Builder Page Builder – Drag and Drop Website Builder plugin <= 2.10.3.1 - Unauthenticated Arbitrary Shortcode Execution vulnerability

Unauthenticated Arbitrary Shortcode Execution vulnerability discovered by Kishan Vyas in WordPress Plugin Beaver Builder versions = 2.10.3.1...

WordPress WPML Multilingual CMS plugin <= 4.9.5 - Incorrect Authorization to Authenticated (Subscriber+) SQL Injection vulnerability

Incorrect Authorization to Authenticated Subscriber+ SQL Injection vulnerability discovered by h0xilo in WordPress Plugin Multilingual CMS versions = 4.9.5...

CVE-2026-23550

root@kitploit: ██████╗██╗ ██╗███████╗ ██████╗ ██████╗ ██████╗ ██████╗ ██████╗ ██████╗ ███████╗ ███████╗ ██████╗ ██╔════╝██║ ██║██╔════╝ ╚════██╗██╔═████╗╚════██╗██╔════╝ ╚════██╗╚════██╗██╔════╝ ██╔════╝██╔═████╗ ██║ ██║ ██║█████╗ █████╔╝██║██╔██║ █████╔╝███████╗ █████╔╝ █████╔╝███████╗...

WordPress Event Tickets and Registration plugin <= 5.27.4 - Missing Authorization to Unauthenticated Stripe Credentials Update vulnerability

Missing Authorization to Unauthenticated Stripe Credentials Update vulnerability discovered by h0xilo in WordPress Plugin Event Tickets versions = 5.27.4...

CVE-2026-11349

Modern Events Calendar Lite getresults 执行，且未使用 。 由于入口点注册在 wpajaxnopriv 上，不需要认证、账户、nonce 或用户交互 。未认证的远程攻击者可以将任意 SQL 注入到针对 wpmecdates 表的 SELECT 语句的 WHERE 子句中，并通过盲时间/布尔/报错技术读取 WordPress 数据库中的任何数据（用户密码哈希、wpoptions 秘密/密钥、其他插件的数据）。 根因 1. “清理器”在默认路径上未进行任何清理 app/libraries/main.php:9607： root@kitpl...

CVE-2026-5076

CVE-2026-5076 - ARMember Password Reset Vulnerability Vulnerability Information Item| Detail ---|--- CVE ID| CVE-2026-5076 Plugin| ARMember – Membership Plugin & Content Restriction Affected Version| Premium = 7.3.1 Patched Version| 7.3.2 CVSS Score| 9.8 Critical CWE| CWE-640: Weak Password...

CVE-2026-8380

CVE-2026-8380 CVE-2026-8380 — Frontend File Manager = 23.6 任意文章删除 概述 在 WordPress 插件 Frontend File Manager nmedia-user-file-uploader 中发现了一个严重的授权缺陷，影响版本 = 23.6。 由于 AJAX 删除端点中的授权验证不当，该漏洞允许低权限的已认证用户永久删除任意 WordPress 文章、页面、附件和自定义文章类型。 当插件选项 allowguestupload=yes 启用时，未认证攻击者也可利用该漏洞。 CVE： CVE-2026-8380 插件：...

CVE-2026-10580

WordPress - Hippoo Mobile App for WooCommerce = 1.9.4 - Bypass de Autenticación para Toma de Control de Cuenta de Administrador Resumen Esta herramienta es un exploit de prueba de concepto para CVE-2026-10580 , una vulnerabilidad de bypass de autenticación que afecta al plugin de WordPress Hippoo...

CVE-2025-7847-POC

CVE-2025-7847 Wordpress插件 已验证订阅者任意文件上传 POC Wordpress插件 AI Engine 2.9.3 - 2.9.4 概念验证 请注意，此漏洞仅在启用“Public API”选项时才能被利用，该选项默认是禁用的，并且没有配置Bearer Token，也没有添加和用于保护API的自定义身份验证。 自动化版本 root@kitploit: python3 exploit-auto.py --url "http://target.com" --username "Admin" --password "L87C4u" --file reverse.php...

CVE-2022-1329

WP Elementor 3.6.0/1/2 远程代码执行 root@kitploit: Google Dork: 无 日期: 2022年4月16日 漏洞作者: AkuCyberSec https://github.com/AkuCyberSec 厂商主页: https://elementor.com/ 软件链接: https://wordpress.org/plugins/elementor/advanced/ 向下滚动以选择版本 版本: 3.6.0, 3.6.1, 3.62 测试环境: WordPress 5.9.3 操作系统无关，因为此漏洞不提供载荷 CVE:...

wordpress-jetpack-broken-access-control-exploit

wordpress-jetpack-broken-access-control-exploit 这是一个利用 Jetpack 13.9.1 越权访问漏洞（CVE-2024-9926）的 Python3 程序。 免责声明 该工具旨在供安全工程师和应用安全人员用于安全评估。请负责任地使用此工具。我对任何人使用此应用程序的方式不承担任何责任。对于因使用此工具而造成的任何损害或犯下的任何罪行，我概不负责。 漏洞信息 CVE 编号 ：CVE-2024-9926 链接 ：https://vulners.com/cve/CVE-2024-9926 描述...

CVE-2026-14894

CVE-2026-14894 — Super Forms ≤ 6.3.313 概述 未认证的任意文件上传导致远程代码执行 在 WordPress 插件 Super Forms 版本 ≤ 6.3.313 中。 该漏洞位于 AJAX 处理器 supersubmitform 中，它通过 datauristring 字段处理文件上传，在写入磁盘前未验证文件扩展名或 MIME 类型。未认证的攻击者可以上传 PHP WebShell 并在目标服务器上实现完整的远程代码执行。 漏洞详情 攻击链 root@kitploit: 1 获取 nonce nopriv POST...

CVE-2026-15282

CVE-2026-15282 — Instant Appointment 批量 RCE 利用工具 预认证 filegetcontents + fileputcontents → PHP Webshell 概述 CVE-2026-15282 是 Instant Appointment WordPress 插件（≤ 1.2）中的一个严重（CVSS 9.8）未认证任意文件上传漏洞。 addservicefront AJAX 动作通过 wpajaxnopriv 注册，允许未认证访问。该处理器直接将用户提供的 imageurl 和 imagename 传递给 filegetcontents 和...

CVE-2026-56011-Lab

CVE-2026-56011 - MapPress Maps for WordPress 未认证 XSS iframe 地图渲染漏洞 执行摘要 此仓库包含一个本地 Docker 实验室，用于复现和验证 CVE-2026-56011，这是一个影响 MapPress Maps for WordPress 的未认证跨站脚本（XSS）漏洞。 MapPress Maps for WordPress 是一个用于在 WordPress 页面和文章中渲染地图的插件。漏洞行为影响可通过 mappress=embed 请求参数访问的 iframe 地图渲染路径。 此实验室比较两个 MapPress 版本：...

CVE-2026-9290

CVE-2026-9290 — Exploit de LFI a RCE en WP User Manager Path Traversal sin autenticación a través del parámetro 'tab' → Inclusión Local de Archivos LFI Resumen CVE-2026-9290 es una vulnerabilidad de Inclusión Local de Archivos LFI sin autenticación, de severidad alta CVSS 7.5, en el plugin de...

PT-2026-86991

Unauthenticated Insecure Direct Object References IDOR in WpEvently = 5.6.0 versions...

WordPress Eventin – Event Calendar, Tickets, Registration, Booking & WooCommerce plugin <= 4.1.22 - Missing Authorization to Unauthenticated Arbitrary Order Creation and Status Manipulation vulnerability

Missing Authorization to Unauthenticated Arbitrary Order Creation and Status Manipulation vulnerability discovered by Wordfence PRISM in WordPress Plugin WP Event SOlution versions = 4.1.22...

WordPress Graphina – Charts and Graphs For Elementor plugin <= 3.1.11 - Authenticated (Author+) Stored Cross-Site Scripting vulnerability

Authenticated Author+ Stored Cross-Site Scripting vulnerability discovered by Athiwat Tiprasaharn Jitlada, Itthidej Aramsri Boeing777 in WordPress Plugin Graphina versions = 3.1.11...