https://alertas.dupin.com.ar/fabricante/tomdever/Alertas de vulnerabilidades de tomdever.esSat, 07 Nov 2026 10:27:32 +000010https://alertas.dupin.com.ar/cve/CVE-2026-119155/tg:63935Sat, 07 Nov 2026 10:27:32 +0000VulnerabilidadEl plugin wpForo Forum para WordPress es vulnerable a inyección SQL basada en tiempo mediante el parámetro 'href[locale]' en versiones hasta la 3.2.2 inclusive, por escape insuficiente del parámetro y falta de preparación de la consulta. Permite a atacantes no autenticados agregar consultas SQL y extraer información sensible de la base de datos; el nonce necesario se entrega públicamente en cualquier página del foro.https://alertas.dupin.com.ar/cve/CVE-2026-95870/tg:63934Sat, 07 Nov 2026 10:27:31 +0000VulnerabilidadEl plugin wpForo Forum para WordPress es vulnerable a inyección SQL mediante el parámetro 'data' en versiones hasta la 3.2.1 inclusive, por escape insuficiente y falta de preparación de la consulta. Permite a atacantes no autenticados agregar consultas SQL y extraer información sensible; requiere que un campo de formulario de tema de tipo checkbox o select/autocomplete con isMultiChoice esté registrado en la configuración del foro.https://alertas.dupin.com.ar/cve/CVE-2026-119164/tg:63933Sat, 07 Nov 2026 10:27:30 +0000VulnerabilidadEl plugin wpForo Forum para WordPress es vulnerable a escalada de privilegios en versiones hasta la 3.2.2 inclusive mediante el parámetro data[secondary_groupids] del handler POST wpforo_action_profile_update, por un fallo de confusión de tipos en la validación de Members::update() en classes/Members.php. Permite a atacantes autenticados con nivel Subscriber persistir IDs de grupo arbitrarios en wp_wpforo_profiles.secondary_groupids.https://alertas.dupin.com.ar/cve/CVE-2026-120532/tg:63930Sat, 07 Nov 2026 10:27:25 +0000VulnerabilidadEl plugin wpForo Forum para WordPress es vulnerable a cross-site scripting almacenado mediante el parámetro 'post[body]' en versiones hasta la 3.2.2 inclusive, por sanitización de entrada y escape de salida insuficientes. Permite a atacantes autenticados con nivel Subscriber o superior inyectar scripts que se ejecutan cuando un usuario accede a la página afectada.