| CVE | Vendor | Producto | Severidad | VAfectadas | Exploit |
|---|---|---|---|---|---|
| CVE-2026-104028 | Anton Extensions | Plugin WordPress Anton Extensions | CRITICAL (9.8) | Hasta la versión 1.2.2 incluida | Sí |
| CVE-2026-81649 | Fundiin | Fundiin cho WooCommerce WordPress plugin | CRÍTICA (9.1) | versiones hasta la 3.4.0 incluidas | Sí |
| CVE-2026-84251 | click5 | click5 CRM add-on para Ninja Forms WordPress plugin | CRITICAL (9.8) | hasta la 1.0.1 inclusive | Sí |
| CVE-2026-84252 | click5 | CRM add-on para WPForms (WordPress plugin) | CRÍTICA (9.8) | versiones hasta la 1.0.3 incluidas | Sí |
| CVE-2026-84253 | click5 | click5 CRM add-on para Gravity Forms WordPress plugin | CRITICAL (9.8) | versiones hasta 1.0.3 incluidas | Sí |
| CVE-2026-84254 | click5 | CRM add-on para Contact Form 7 WordPress plugin | CRITICAL (9.8) | hasta la versión 1.0.4 inclusive | Sí |
| CVE-2026-84734 | Mindstien | Quick Login WordPress plugin | CRITICAL (9.8) | hasta la versión 1.0 inclusive | Sí |
| CVE-2026-84737 | Freeton | Freeton WP WordPress plugin | CRÍTICA (9.8) | hasta la versión 1.0.0 incluida | Sí |
| CVE-2026-85118 | AI Content Generator Marketing | AI Content Generator Marketing WordPress plugin | CRÍTICO (9.8) | Versiones hasta la 1.0.0 incluidas | Sí |
| CVE-2026-85121 | Insurify | Plugin WordPress Insurify | CRÍTICA (9.1) | Hasta la versión 1.0 inclusive | Sí |
| CVE-2026-86706 | Quick quotes | Plugin WordPress Quick quotes | CRÍTICA (9.1) | hasta la versión 1.0.0 inclusive | Sí |
| CVE-2026-86717 | Insurify | Plugin WordPress Insurify | CRÍTICA (9.1) | versiones hasta 1.0 inclusive | Sí |
| CVE-2026-108576 | TOZED | X300 | CRITICAL (10) | hasta 6.01.3 inclusive | Confirmados |
| CVE-2026-108753 | Agnaistic | Agnai through | CRITICAL (9.3) | hasta 1.0.555 (inclusive) | Sí |
| CVE-2026-108860 | SciSharp | BotSharp | CRITICAL (9.3) | hasta la versión 5.2.0 incluida | Sí |
| CVE-2026-66086 | Unisoc | Stack OTA del módem | CRITICAL (9.8) | Versiones con pila OTA vulnerables no especificadas explícitamente | Sí |
| CVE | CVE-2026-104028 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 12 de octubre de 2026 |
| Vendor | Anton Extensions |
| Producto | Plugin WordPress Anton Extensions |
| Versiones | Hasta la versión 1.2.2 incluida |
| Exploit Públicos | Sí, confirmados |
| Referencia | Detalle de la vulnerabilidad en WPScan |
| Descripción | El plugin Anton Extensions para WordPress, en versiones hasta la 1.2.2, no realiza ninguna verificación de capacidad, validación de nonce ni validación del tipo de archivo antes de escribir contenido suministrado por un atacante en una ruta elegida por el mismo, permitiendo a atacantes no autenticados subir archivos PHP arbitrarios y ejecutar código remotamente. |
| Estrategia | Actualizar inmediatamente el plugin a la versión corregida cuando esté disponible o deshabilitarlo temporalmente. Revisar permisos de archivos y monitorizar cargas inusuales. Implementar firewalls a nivel web que bloqueen subidas no autorizadas y restrinjan la ejecución de scripts en directorios de carga. |
—
*Este CVE representa un riesgo real y crítico para la empresa ya que permite ejecución remota de código por usuarios no autenticados, facilitando comprometer sistemas WordPress fácilmente.*
*Se están reportando exploits públicos activos, por lo que la prioridad debe ser máxima para parchar o aislar el componente vulnerable.*
| CVE | CVE-2026-81649 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 12 octubre 2026, 03:30 (UTC) |
| Vendor | Fundiin |
| Producto | Fundiin cho WooCommerce WordPress plugin |
| Versiones | versiones hasta la 3.4.0 incluidas |
| Exploit Públicos | Sí |
| Referencia | WPScan Advisory |
| Descripción | El plugin Fundiin cho WooCommerce para WordPress hasta la versión 3.4.0 carece de autorización adecuada en varias rutas de su API REST, utilizando en su lugar una credencial idéntica en todas las instalaciones. Esto permite a atacantes no autenticados revelar credenciales de pago y datos de pedidos de clientes, modificar la configuración del gateway de pago para redirigir pagos, y marcar pedidos pendientes como pagados. Además, la falta de autorización posibilita el almacenamiento de scripts arbitrarios que se ejecutan sin escapar en el checkout clásico, facilitando ataques de Cross-Site Scripting almacenado (XSS) en tiendas que no usan el checkout basado en bloques. |
| Estrategia | Actualizar urgentemente Fundiin cho WooCommerce a una versión que corrija esta falla. Revisar y fortalecer la seguridad de las rutas REST API, eliminar credenciales comunes por únicas y seguras. Monitorizar actividad sospechosa relacionada con pagos y pedidos, auditar la integridad de la configuración del gateway y verificar que no haya scripts maliciosos almacenados en el checkout clásico. Dada la existencia de exploits públicos, priorizar esta mitigación para evitar fraude y robo de datos. |
—
*Información crítica para toma de decisiones:*
Esta vulnerabilidad está siendo explotada públicamente y puede suponer un riesgo directo y grave para la empresa, especialmente por la exposición de credenciales de pago y manipulación de pedidos. Se debe priorizar su mitigación inmediata para proteger tanto la integridad financiera como la confidencialidad de datos sensibles.
| CVE | CVE-2026-84251 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 12 de octubre de 2026 |
| Vendor | click5 |
| Producto | click5 CRM add-on para Ninja Forms WordPress plugin |
| Versiones | hasta la 1.0.1 inclusive |
| Exploit Públicos | Sí |
| Referencia | WPSCAN Advisory |
| Descripción | El complemento click5 CRM para Ninja Forms WordPress plugin hasta la versión 1.0.1 no realiza verificaciones de autorización ni protección contra CSRF al actualizar opciones mediante un endpoint REST, y no garantiza que la opción a modificar pertenezca al complemento click5 CRM. Esto permite a atacantes no autenticados modificar opciones arbitrarias del blog, incluida la creación de una cuenta de administrador que permite el control total del sitio. |
| Estrategia | Actualizar inmediatamente el plugin a una versión corregida. Mientras tanto, restringir el acceso al endpoint REST vulnerable y monitorizar logs por actividades anómalas. Implementar mecanismos de autenticación fuertes y deshabilitar temporalmente el plugin si no se dispone del parche más reciente. |
| CVE | CVE-2026-84252 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 12 Octubre 2026 |
| Vendor | click5 |
| Producto | CRM add-on para WPForms (WordPress plugin) |
| Versiones | versiones hasta la 1.0.3 incluidas |
| Exploit Públicos | Sí, confirmados |
| Referencia | Detalles de la vulnerabilidad WPScan |
| Descripción | El complemento CRM click5 para el plugin WPForms de WordPress hasta la versión 1.0.3 no realiza comprobaciones de autorización ni protección CSRF al actualizar opciones vía un endpoint REST, y no asegura que la opción actualizada pertenezca al propio complemento. Esto permite a atacantes no autenticados modificar opciones arbitrarias del blog, crear cuentas de administrador nuevas y tomar el control total del sitio. |
| Estrategia | Aplicar inmediatamente el parche oficial o actualizar a versión superior a 1.0.3. Revisar y fortalecer protecciones de autorización y tokens CSRF en todos los endpoints REST, especialmente en plugins que gestionan roles y configuración crítica. Monitorizar actividad de creación de cuentas administrador y accesos anómalos para detectar explotación activa. |
| CVE | CVE-2026-84253 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-12 03:30:36 UTC |
| Vendor | click5 |
| Producto | click5 CRM add-on para Gravity Forms WordPress plugin |
| Versiones | versiones hasta 1.0.3 incluidas |
| Exploit Públicos | Sí |
| Referencia | WPSCAN Vulnerability Details |
| Descripción | El complemento click5 CRM para el plugin Gravity Forms de WordPress hasta la versión 1.0.3 carece de comprobaciones de autorización y protección CSRF al actualizar opciones a través de un endpoint REST, y no asegura que la opción a modificar pertenezca a dicho complemento. Esto permite que atacantes no autenticados cambien opciones arbitrarias del blog, pudiendo crear una cuenta de administrador y tomar control total del sitio. |
| Estrategia | Actualizar inmediatamente el plugin click5 CRM a una versión parcheada que incluya comprobaciones de autorización y CSRF. Revisar y restringir los endpoints REST expuestos, aplicar controles de acceso estrictos y monitorizar intentos de modificación no autorizada para detectar explotación activa. |
| CVE | CVE-2026-84254 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-12T03:30:36.82719+00:00 |
| Vendor | click5 |
| Producto | CRM add-on para Contact Form 7 WordPress plugin |
| Versiones | hasta la versión 1.0.4 inclusive |
| Exploit Públicos | Sí |
| Referencia | WPSCAN Vulnerability Details |
| Descripción | El complemento CRM add-on para Contact Form 7 en WordPress hasta la versión 1.0.4 no realiza comprobaciones de autorización ni protección contra CSRF al actualizar opciones mediante un endpoint REST, ni asegura que la opción modificada pertenezca realmente al complemento. Esto permite a atacantes no autenticados modificar opciones arbitrarias del blog, pudiendo crear cuentas de administrador y tomar el control del sitio. |
| Estrategia | Aplicar inmediatamente el parche o actualizar a una versión superior a 1.0.4. Revisar los registros de acceso para detectar intentos de explotación y restringir el acceso a endpoints REST sensibles. Implementar controles adicionales de autorización y protección anti-CSRF en plugins. |
—
*Esta vulnerabilidad permite toma de control completo del sitio WordPress sin necesidad de autenticación previa, utilizando endpoints REST inseguros. Dada la existencia de exploits públicos y la gravedad crítica, la prioridad debe ser máxima.
—
Inserto registro en Supabase con campos apropiados para seguimiento.
| CVE | CVE-2026-84734 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 12 de octubre de 2026 |
| Vendor | Mindstien |
| Producto | Quick Login WordPress plugin |
| Versiones | hasta la versión 1.0 inclusive |
| Exploit Públicos | Sí |
| Referencia | Detalle de la vulnerabilidad |
| Descripción | El plugin Mindstien Quick Login para WordPress hasta la versión 1.0 no valida correctamente un valor suministrado en la solicitud contra la propia sesión del visitante antes de autenticarlo, lo que permite a atacantes no autenticados obtener una sesión como la cuenta de administrador con la que está configurado el plugin. |
| Estrategia | Actualizar inmediatamente a una versión parcheada si está disponible o desactivar el plugin hasta su corrección. Implementar controles adicionales de validación y monitoreo de accesos administrativos anómalos. Revisar registros de accesos para detectar sesión administradora sospechosa e identificar intentos de explotación activa. Priorizar esta vulnerabilidad dado que permite compromiso total sin autenticación previa. |
| CVE | CVE-2026-84737 |
| Severidad | CRÍTICA (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 12 de octubre de 2026 |
| Vendor | Freeton |
| Producto | Freeton WP WordPress plugin |
| Versiones | hasta la versión 1.0.0 incluida |
| Exploit Públicos | Sí |
| Referencia | Advisory WPScan |
| Descripción | El plugin Freeton WP para WordPress hasta la versión 1.0.0 no valida correctamente el código de activación al autenticar un usuario, lo que permite a atacantes no autenticados iniciar sesión como cualquier usuario, incluido el administrador, con solo conocer su dirección de correo electrónico. |
| Estrategia | Actualizar inmediatamente el plugin a una versión corregida cuando esta esté disponible. Mientras tanto, restringir el acceso al plugin y monitorizar intentos sospechosos de autenticación. Evitar el uso de direcciones de correo electrónico expuestas públicamente y reforzar autenticación multifactor para todas las cuentas administrativas. |
| CVE | CVE-2026-85118 |
| Severidad | CRÍTICO (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 12 Octubre 2026 |
| Vendor | AI Content Generator Marketing |
| Producto | AI Content Generator Marketing WordPress plugin |
| Versiones | Versiones hasta la 1.0.0 incluidas |
| Exploit Públicos | Sí |
| Referencia | wpscan Vulnerability DB |
| Descripción | El plugin AI Content Generator Marketing para WordPress en versiones hasta la 1.0.0 no implementa protección mediante nonce ni verificación de capacidades en algunas acciones AJAX, permitiendo que usuarios no autenticados modifiquen y eliminen opciones arbitrarias de WordPress. Este fallo puede ser explotado para obtener acceso con privilegios administrativos al sitio, comprometiendo la integridad y seguridad completa del entorno WordPress. |
| Estrategia | Actualizar de forma urgente el plugin a una versión parcheada que implemente correctamente controles de acceso a acciones AJAX. En caso de no disponer de parche, deshabilitar el plugin y revisar el sistema por posibles accesos no autorizados. Monitorizar logs para detectar actividad sospechosa y fortalecer autenticación y control de privilegios en WordPress. |
| CVE | CVE-2026-85121 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 12 Octubre 2026 |
| Vendor | Insurify |
| Producto | Plugin WordPress Insurify |
| Versiones | Hasta la versión 1.0 inclusive |
| Exploit Públicos | Sí |
| Referencia | Vulnerabilidad en WPScan |
| Descripción | El plugin Insurify para WordPress, en versiones hasta la 1.0, carece de comprobaciones de autorización y nonces en una de sus acciones AJAX, permitiendo que usuarios no autenticados creen y sobrescriban opciones arbitrarias de WordPress con datos enviados por petición. Esto puede dejar el sitio fuera de servicio y desactivar el plugin Insurify. |
| Estrategia | Actualizar inmediatamente a una versión parcheada que incluya controles de autorización y uso de nonces para las acciones AJAX. En caso de no existir, desactivar el plugin Insurify temporalmente. Además, monitorizar logs para identificar intentos de explotación y limitar acceso a las interfaces AJAX mediante mecanismos de seguridad adicionales. |
| CVE | CVE-2026-86706 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 12 de octubre de 2026 |
| Vendor | Quick quotes |
| Producto | Plugin WordPress Quick quotes |
| Versiones | hasta la versión 1.0.0 inclusive |
| Exploit Públicos | Sí |
| Referencia | wpscan Advisory |
| Descripción | El plugin Quick quotes para WordPress, hasta la versión 1.0.0, no realiza ninguna comprobación de capacidad o nonce en una de sus acciones AJAX y permite al atacante elegir qué opción se modifica, lo que permite a usuarios no autenticados alterar configuraciones arbitrarias del sitio y hacer que el sitio sea inaccesible. |
| Estrategia | Actualizar inmediatamente el plugin a una versión corregida o eliminarlo si no es esencial. Implementar controles de acceso robustos y restricciones en acciones AJAX. Monitorizar logs para detectar posibles explotaciones activas que puedan afectar la disponibilidad y configuración del sitio. |
| CVE | CVE-2026-86717 |
| Severidad | CRÍTICA (9.1) |
| Importancia para la empresa | ALTA |
| Publicado | 12 de octubre de 2026 |
| Vendor | Insurify |
| Producto | Plugin WordPress Insurify |
| Versiones | versiones hasta 1.0 inclusive |
| Exploit Públicos | Sí |
| Referencia | Informe WPSCAN |
| Descripción | El plugin Insurify para WordPress hasta la versión 1.0 no implementa controles de autorización ni nonce en una de sus acciones AJAX, permitiendo a usuarios no autenticados eliminar opciones arbitrarias de WordPress. Esto puede dejar el sitio fuera de servicio y revocar los roles de todos los usuarios. |
| Estrategia | Actualizar inmediatamente el plugin Insurify a una versión parcheada que incorpore controles de autorización y nonce. Mientras tanto, restringir el acceso a la funcionalidad AJAX afectada mediante reglas adicionales en el servidor, monitorizar actividad inusual y validar integridad del sitio para detectar posibles explotaciones activas. |
—
He registrado ya este CVE en Supabase según el procedimiento solicitado.
| CVE | CVE-2026-108576 |
| Severidad | CRITICAL (10) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-12T03:30:38.668629+00:00 |
| Vendor | TOZED |
| Producto | X300 |
| Versiones | hasta 6.01.3 inclusive |
| Exploit Públicos | Confirmados |
| Referencia | GitHub Advisory GHSA-qcpp-vfr2-v242 |
| Descripción | Se ha encontrado una vulnerabilidad en TOZED X300 hasta la versión 6.01.3 que afecta a la función process_ping del componente IPPingDiagnostics Handler. La manipulación del argumento Host resulta en una inyección de comandos en el sistema operativo. El ataque puede lanzarse de forma remota. El fabricante fue contactado pero no respondió a esta divulgación. |
| Estrategia | Priorizar la actualización inmediata a una versión parcheada cuando esté disponible. Mientras tanto, restringir el acceso remoto a la función vulnerable mediante controles de firewall y segmentación de red. Monitorizar actividad inusual relacionada con la ejecución de comandos remotos y utilizar sistemas de detección de intrusiones para alertar sobre posibles explotaciones activas. |
—
| CVE | CVE-2026-108753 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 12-Octubre-2026 |
| Vendor | Agnaistic |
| Producto | Agnai through |
| Versiones | hasta 1.0.555 (inclusive) |
| Exploit Públicos | Sí |
| Referencia | Repositorio oficial en GitHub |
| Descripción | La vulnerabilidad consiste en credenciales codificadas de forma fija en el archivo self-host.docker-compose.yml, que establece una contraseña administrativa fija y un secreto JWT público. Esto permite que atacantes no autenticados puedan iniciar sesión como administrador o crear tokens JWT firmados con admin: true para suplantar usuarios, restablecer contraseñas y modificar la configuración del servidor. |
| Estrategia | Aplicar inmediatamente el parche o actualización que elimine las credenciales codificadas. Cambiar las contraseñas administrativas por valores únicos y secretos, y proteger el acceso al archivo de configuración. Además, monitorizar intentos anómalos de autenticación y uso de JWT para detectar explotación activa. |
—
| CVE | CVE-2026-108860 |
| Severidad | CRITICAL (9.3) |
| Importancia para la empresa | ALTA |
| Publicado | 2026-10-12T03:30:39 (UTC) |
| Vendor | SciSharp |
| Producto | BotSharp |
| Versiones | hasta la versión 5.2.0 incluida |
| Exploit Públicos | Sí, se confirma existencia |
| Referencia | Repositorio oficial BotSharp |
| Descripción | Vulnerabilidad de omisión de autenticación en BotSharp hasta la versión 5.2.0, causada por una llave Jwt:Key codificada en duro en el archivo WebStarter appsettings.json. Atacantes remotos no autenticados pueden forjar tokens bearer firmando con la clave HMAC expuesta, utilizando un issuer y audience fijos, para suplantar cualquier usuario conocido incluyendo administradores en rutas API protegidas por autorización. |
| Estrategia | Aplicar urgente el parche oficial que elimina la clave Jwt:Key codificada o actualizar a versión segura posterior a 5.2.0. Revisar y rotar cualquier token o credencial comprometida. Implementar auditoría reforzada sobre accesos a APIs protegidas y limitar la exposición de configuraciones sensibles en repositorios o despliegues. |
| CVE | CVE-2026-66086 |
| Severidad | CRITICAL (9.8) |
| Importancia para la empresa | ALTA |
| Publicado | 12 de Octubre de 2026 |
| Vendor | Unisoc |
| Producto | Stack OTA del módem |
| Versiones | Versiones con pila OTA vulnerables no especificadas explícitamente |
| Exploit Públicos | Sí |
| Referencia | Boletín de seguridad Unisoc |
| Descripción | Existe un posible desbordamiento de buffer basado en pila dentro de la pila OTA del módem debido a la validación incorrecta de la información de programación en mensajes SIB1. Esta vulnerabilidad podría permitir la ejecución remota de código o causar denegación de servicio sin necesidad de privilegios adicionales para la ejecución. |
| Estrategia | Aplicar inmediatamente el parche oficial proporcionado por Unisoc. Monitorizar los sistemas para detectar ataques dirigidos a la pila OTA del módem y bloquear comunicaciones sospechosas que contengan mensajes SIB1 manipulados. Implementar controles de seguridad adicionales en la red que limiten el acceso remoto directo al módem vulnerable. |
Enviar a un amigo:
