https://alertas.dupin.com.ar/fabricante/essential-real-estate/Alertas de vulnerabilidades de Essential Real Estate.esThu, 05 Nov 2026 07:26:12 +000010https://alertas.dupin.com.ar/cve/CVE-2026-90965/tg:63451Thu, 05 Nov 2026 07:26:12 +0000VulnerabilidadEl plugin Essential Real Estate de WordPress antes de 5.3.5 no realiza una verificación de estado de publicación ni de autorización en dos de sus acciones AJAX, lo que permite a usuarios no autenticados obtener las imágenes adjuntas a anuncios de propiedades que no han sido publicados.https://alertas.dupin.com.ar/cve/CVE-2026-90964/tg:63450Thu, 05 Nov 2026 07:26:09 +0000VulnerabilidadEl plugin Essential Real Estate de WordPress antes de 5.3.5 no restringe el destinatario de una de sus acciones de correo de contacto, lo que permite a usuarios no autenticados enviar correos a direcciones arbitrarias con un encabezado de remitente y un cuerpo controlados por el atacante a través del sitio.https://alertas.dupin.com.ar/cve/CVE-2026-90963/tg:63449Thu, 05 Nov 2026 07:26:08 +0000VulnerabilidadEl plugin Essential Real Estate para WordPress antes de 5.3.5 no realiza controles de autorización ni de estado de publicación en una de sus acciones AJAX, lo que permite a usuarios no autenticados leer el contenido completo de propiedades no publicadas junto con el nombre, correo, teléfono y dirección de oficina del agente. Se corrige en la versión 5.3.5.https://alertas.dupin.com.ar/cve/CVE-2026-90967/tg:63444Thu, 05 Nov 2026 07:26:01 +0000VulnerabilidadEl plugin Essential Real Estate para WordPress antes de 5.3.5 no verifica la propiedad de una factura antes de renderizarla en una de sus acciones AJAX, lo que permite a un usuario autenticado de bajo privilegio leer facturas de otros usuarios, incluidos el nombre del titular, el correo de la cuenta y los datos financieros. Se corrige en la versión 5.3.5.https://alertas.dupin.com.ar/cve/CVE-2026-90966/tg:63443Thu, 05 Nov 2026 07:26:00 +0000VulnerabilidadEl plugin Essential Real Estate para WordPress antes de 5.3.5 no verifica en una de sus acciones AJAX que un paquete de anuncios seleccionado para activación gratuita sea realmente gratuito ni que el usuario solicitante tenga derecho a él, lo que permite a un cliente autorregistrado activar un paquete pago sin pagar y hacer que el sitio registre una factura paga por el precio total del paquete. Se corrige en la versión 5.3.5.