CVE-2026-94299

The elegro Crypto Payment WordPress plugin versions through 1.0.1 is vulnerable to an unauthenticated arbitrary order status change via IPN callback. The root cause is a failure to require a shared secret for validating incoming payment notification requests. If the secret remains at its default ...

CVE-2026-94299 elegro Crypto Payment <= 1.0.1 - Unauthenticated Arbitrary Order Status Change via IPN Callback

The elegro Crypto Payment WordPress plugin through 1.0.1 does not require a shared secret to be configured before trusting incoming payment notification requests, allowing unauthenticated attackers to forge payment confirmations and change the status of arbitrary orders on any installation where...

CVE-2025-32583

🚨 CVE-2025-32583 — WordPress PDF 2 Post RCE 익스플로잇 치명적 취약점 CVE-ID: CVE-2025-32583 심각도: 9.9 치명적 CVSS 벡터: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H 📖 설명 PDF 2 Post WordPress 플러그인termel 개발의 취약점으로 인해 코드 생성의 부적절한 제어Improper Control of Generation of Code 로 인한 원격 코드 포함RCE 이 가능합니다. 영향받는 버전: = 2.4.0 이...

CVE-2026-10580

WordPress - Hippoo Mobile App for WooCommerce = 1.9.4 - Bypass de Autenticación para Toma de Control de Cuenta de Administrador Resumen Esta herramienta es un exploit de prueba de concepto para CVE-2026-10580 , una vulnerabilidad de bypass de autenticación que afecta al plugin de WordPress Hippoo...

CVE-2025-7847-POC

CVE-2025-7847 Plugin de WordPress – Carga Arbitraria de Archivos por Suscriptor Autenticado – POC Plugin de WordPress AI Engine 2.9.3 - 2.9.4 Prueba de Concepto Tenga en cuenta que esta vulnerabilidad solo puede explotarse si la opción “Public API” está habilitada, que está deshabilitada por...

CVE-2025-4334

🔓 Simple User Registration = 6.3 - Escalada de Privilegios No Autenticada 📄 Descripción El plugin Simple User Registration para WordPress es vulnerable a una Escalada de Privilegios en todas las versiones hasta la 6.3 inclusive. Esto se debe a restricciones insuficientes en los valores meta de...

CVE-2022-1329

WP Elementor 3.6.0/1/2 Ejecución Remota de Código Google Dork: none Date: April 16 2022 Exploit Author: AkuCyberSec https://github.com/AkuCyberSec Vendor Homepage: https://elementor.com/ Software Link: https://wordpress.org/plugins/elementor/advanced/ scroll down to select the version Version:...

wordpress-jetpack-broken-access-control-exploit

wordpress-jetpack-broken-access-control-exploit Este es un programa en Python3 que explota la vulnerabilidad de control de acceso roto en Jetpack 13.9.1 CVE-2024-9926. DESCARGO DE RESPONSABILIDAD Esta herramienta está pensada para ingenieros de seguridad y personal de AppSec para evaluaciones de...

CVE-2026-14894

CVE-2026-14894 — Super Forms ≤ 6.3.313 Resumen Carga de archivos arbitraria no autenticada → Ejecución remota de código en el plugin de WordPress Super Forms versiones ≤ 6.3.313. La vulnerabilidad reside en el manejador AJAX supersubmitform que procesa las subidas de archivos a través de un campo...

CVE-2026-15282

CVE-2026-15282 — Exploit RCE masivo de Instant Appointment Pre-autenticación: filegetcontents + fileputcontents → Webshell PHP Resumen CVE-2026-15282 es una vulnerabilidad crítica CVSS 9.8 de subida arbitraria de archivos sin autenticación en el plugin Instant Appointment de WordPress ≤ 1.2. La...

CVE-2026-56011-Lab

CVE-2026-56011 - MapPress Maps para WordPress: XSS no autenticado en la renderización de mapas iframe Resumen ejecutivo Este repositorio contiene un laboratorio Docker local para reproducir y validar CVE-2026-56011, una vulnerabilidad de Cross-Site Scripting no autenticado que afecta a MapPress...

CVE-2026-9290

CVE-2026-9290 — Exploit de LFI a RCE en WP User Manager Path Traversal sin autenticación a través del parámetro 'tab' → Inclusión Local de Archivos LFI Resumen CVE-2026-9290 es una vulnerabilidad de Inclusión Local de Archivos LFI sin autenticación, de severidad alta CVSS 7.5, en el plugin de...

PT-2026-106341

The elegro Crypto Payment WordPress plugin through 1.0.1 does not require a shared secret to be configured before trusting incoming payment notification requests, allowing unauthenticated attackers to forge payment confirmations and change the status of arbitrary orders on any installation where...

PT-2026-106339

The Deema Payment Gateway WordPress plugin through 1.1.2 does not verify the payment with the payment provider when handling the return from the hosted checkout, and does not check the payment status or amount, allowing unauthenticated users to have orders marked as paid without any payment being...

CVE-2026-81780-Hash-Form

CVE-2026-81780-Hash-Form CVE-2026-81780 — Hash Form RCE La vulnerabilidad Carga de archivos sin autenticación en el plugin Hash Form de WordPress ≤ 1.4.2. El plugin permite la carga arbitraria de archivos sin una autenticación adecuada ni validación del tipo de archivo, lo que conduce a la...

CVE-2025-22510

CVE-2025-22510 1️⃣ Tipo de componente Plugin de WordPress 2️⃣ Detalles del componente Nombre del componente WC Price History for Omnibus Versión vulnerable = 2.1.4 Slug del componente wc-price-history Enlace del componente https://wordpress.org/plugins/wc-price-history/ 3️⃣ OWASP 2017: TOP 10 Clase...

CVE-2026-11961

CVE-2026-11961 Herramienta de explotación masiva para CVE-2026-11961 que afecta al plugin de WordPress User Registration & Membership. Características Detección de versión del plugin Soporte para un único objetivo Procesamiento de objetivos por lotes Soporte multi-hilo Credenciales aleatorias o...

CVE-2023-4281

ID de CVE: CVE-2023-4281 Tipo de vulnerabilidad: Suplantación de dirección IP Descripción: El complemento Activity Log recupera las direcciones IP de los clientes desde cabeceras potencialmente no confiables, lo que permite a un atacante manipular su valor. Esto puede usarse para ocultar el orige...

CVE-2019-17234b-Exploit

Vulnerabilidad del plugin Wordpress IgniteUp El plugin IgniteUp de Wordpress v3.4 y versiones anteriores permite a usuarios remotos no autenticados eliminar arbitrariamente cualquier archivo del servidor web objetivo, pudiendo provocar un ataque de denegación de servicio. Cronología de...

CVE-2023-4549

ID de CVE : CVE-2023-4549 Tipo de Vulnerabilidad : Cross-Site Scripting Descripción : El plugin DoLogin Security para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del encabezado 'X-Forwarded-For' en versiones hasta la 3.6 inclusive, debido a una insuficiente sanitización de...