https://alertas.dupin.com.ar/fabricante/wedevs/Alertas de vulnerabilidades de wedevs.esMon, 09 Nov 2026 10:54:30 +000010https://alertas.dupin.com.ar/cve/CVE-2026-121760/tg:64226Mon, 09 Nov 2026 10:54:30 +0000VulnerabilidadVulnerabilidad de autorización faltante en el plugin weDocs de weDevs para WordPress, que permite explotar niveles de control de acceso mal configurados. Afecta a las versiones hasta la 2.6.1 inclusive.https://alertas.dupin.com.ar/cve/CVE-2026-120531/tg:64004Sat, 07 Nov 2026 22:59:18 +0000VulnerabilidadEl plugin Subscribe2 – Form, Email Subscribers & Newsletters para WordPress es vulnerable a cross-site scripting (XSS) almacenado mediante el parámetro 'data[ip]' en todas las versiones hasta la 10.47 inclusive, por sanitización de entrada y escape de salida insuficientes. Permite a atacantes no autenticados inyectar scripts web arbitrarios en páginas que se ejecutan cuando un usuario accede a la página inyectada.https://alertas.dupin.com.ar/cve/CVE-2026-109214/tg:63944Sat, 07 Nov 2026 12:57:47 +0000VulnerabilidadEl plugin User Frontend para WordPress es vulnerable a XSS almacenado por el parámetro de nombre de campo de taxonomía (por defecto 'category') en versiones hasta la 4.3.13, por sanitización y escape de salida insuficientes. Atacantes no autenticados pueden inyectar scripts web arbitrarios; requiere que la instalación tenga configurado un campo de taxonomía en modo text-input con envío de publicaciones por invitados habilitado en al menos un formulario frontend.https://alertas.dupin.com.ar/cve/CVE-2026-121993/tg:63243Wed, 04 Nov 2026 14:41:17 +0000VulnerabilidadLa ruta REST wepos/v1/payment/process no verifica autorización, por lo que usuarios autenticados de nivel vendedor pueden marcar pedidos arbitrarios como pagados y completados indicando el ID de otro pedido. Con solo la capacidad publish_shop_orders pueden disparar el ciclo de finalización, incluida la reducción de stock y el acceso a pedidos pagados, sin realizar un pago real. Corregido en 2.0.3.https://alertas.dupin.com.ar/cve/CVE-2026-116512/tg:62694Mon, 02 Nov 2026 07:43:59 +0000Exploit públicoEl plugin Project Manager para WordPress concatena sin sanear el parámetro 'id' en una cadena de reglas de validación que luego invoca funciones PHP dinámicas sin lista de permitidos. Esto permite a atacantes no autenticados ejecutar código en el servidor, ya que la validación se ejecuta antes del control de permisos.https://alertas.dupin.com.ar/cve/CVE-2026-116512/tg:62458Sat, 31 Oct 2026 10:22:19 +0000VulnerabilidadEl plugin Project Manager para WordPress concatena sin sanear el parámetro 'id' en una cadena de reglas de validación que luego invoca funciones PHP dinámicas sin lista de permitidos. Esto permite a atacantes no autenticados ejecutar código en el servidor, ya que la validación se ejecuta antes del control de permisos.https://alertas.dupin.com.ar/cve/CVE-2026-120070/tg:62453Sat, 31 Oct 2026 10:22:12 +0000VulnerabilidadEl plugin User Frontend para WordPress permite a atacantes autenticados con nivel Subscriber o superior escalar privilegios mediante el parámetro post_content de submit_post(). La lista de bloqueo de shortcodes protegidos se elude insertando un byte de control en el nombre del shortcode, que luego se almacena y ejecuta.https://alertas.dupin.com.ar/cve/CVE-2026-115590/tg:61812Wed, 28 Oct 2026 15:28:36 +0000VulnerabilidadEl plugin Dokan de WordPress es vulnerable a inyección de objetos por deserialización de datos no confiables. Afecta a versiones hasta la 5.3.1.