Vulnerabilidades en plugins de WordPress: 13 plugins, incluido TranslatePress

Se han revelado vulnerabilidades en 13 plugins de WordPress, la mayoría de ellas el 7 de noviembre de 2026. La más grave es un fallo de omisión de autenticación en el plugin de reservas de citas LatePoint (CVSS 9.1), que permite a atacantes no autenticados tomar el control de cuentas de clientes. El plugin afectado más utilizado es TranslatePress, con 400.000 instalaciones activas. Por el momento, no se informa de que ninguna de las vulnerabilidades se esté explotando activamente.

LatePoint (100.000 instalaciones activas)

El plugin Appointment Booking Plugin – LatePoint es vulnerable a una omisión de autenticación que permite a atacantes no autenticados sobrescribir la contraseña de un cliente y tomar el control de la cuenta, incluidas las reservas, los pedidos y los datos personales. Cuando está activada la opción de usar usuarios de WordPress como clientes, la cuenta de WordPress vinculada también puede quedar bajo control del atacante. Están afectadas todas las versiones hasta la 5.7.6 incluida (CVE-2026-118066, CVSS 9.1). Actualice a la última versión; si no hay una versión corregida disponible para su sitio, desactive y elimine el plugin.

Amelia (90.000 instalaciones activas)

Amelia contiene dos fallos en las versiones hasta la 9.9.1 incluida. Una inyección SQL basada en tiempo mediante el parámetro tag[] permite a atacantes no autenticados extraer información sensible de la base de datos (CVE-2026-116751, CVSS 7.5). La falta de una comprobación de autorización permite a usuarios con sesión iniciada y el rol de cliente de Amelia exportar la lista completa de asistentes, con datos personales, de cualquier evento (CVE-2026-107616, CVSS 7.5). Actualice a la última versión o, si no hay actualización disponible, desactive y elimine el plugin.

FunnelKit Payment Gateway for Stripe WooCommerce (20.000 instalaciones activas)

Una referencia directa a objetos insegura permite a atacantes no autenticados leer los datos de facturación de cualquier pedido de la tienda, incluidos nombre, correo electrónico, teléfono y dirección, enumerando los identificadores de pedido. Están afectadas todas las versiones hasta la 1.15.0.2 incluida (CVE-2026-109991, CVSS 7.5). Actualice a la última versión o, si no hay actualización disponible, desactive y elimine el plugin.

wpForo Forum (20.000 instalaciones activas)

wpForo tiene tres vulnerabilidades. Una inyección SQL basada en tiempo mediante el parámetro href[locale] puede explotarla cualquier visitante no autenticado en las versiones hasta la 3.2.2 incluida (CVE-2026-119155, CVSS 7.5), y una escalada de privilegios permite que suscriptores con sesión iniciada que tengan al menos tres publicaciones aprobadas en el foro se conviertan en administradores de wpForo en esas mismas versiones (CVE-2026-119164, CVSS 7.5). Otra inyección SQL mediante el parámetro data afecta a las versiones hasta la 3.2.1 incluida cuando se configuran determinados campos de formulario con búsqueda (CVE-2026-95870, CVSS 7.5). Actualice a la última versión.

TranslatePress (400.000 instalaciones activas)

Dos fallos de cross-site scripting almacenado a través de comentarios permiten a atacantes no autenticados inyectar scripts en las páginas, en algunos casos después de que se haya aprobado un comentario previo con el mismo nombre y correo electrónico y esté configurado un idioma secundario. Están afectadas todas las versiones hasta la 3.3.8 incluida (CVE-2026-119167 y CVE-2026-120537, ambos CVSS 7.2). Actualice a la última versión.

Unlimited Elements for Elementor (300.000 instalaciones activas)

Un fallo de cross-site scripting almacenado permite a atacantes no autenticados inyectar scripts a través del contenido de una fuente RSS que controlen, si un administrador ha colocado el widget RSS Feed apuntando a esa fuente. Están afectadas todas las versiones hasta la 2.0.26 incluida (CVE-2026-116558, CVSS 7.2). Actualice a la última versión.

Optimole (200.000 instalaciones activas)

Optimole tiene tres fallos de cross-site scripting almacenado que pueden explotar atacantes no autenticados, dos a través de comentarios y uno a través de un endpoint REST cuya firma requerida está expuesta en páginas públicas. CVE-2026-119070 afecta a las versiones hasta la 4.2.17 incluida, mientras que CVE-2026-120677 y CVE-2026-120739 afectan a las versiones hasta la 4.2.18 incluida (todos con CVSS 7.2). Actualice a la última versión.

iubenda (200.000 instalaciones activas)

El plugin iubenda All-in-one Compliance es vulnerable a cross-site scripting almacenado a través de comentarios, que pueden explotar atacantes no autenticados después de que se apruebe un primer comentario suyo. Están afectadas las versiones hasta la 3.13.6 incluida (CVE-2026-120540, CVSS 7.2). Actualice a la última versión.

Download Manager (90.000 instalaciones activas)

Un fallo de cross-site scripting almacenado en los campos de registro permite a atacantes no autenticados inyectar scripts, siempre que el registro público esté habilitado, el formulario de registro del plugin esté publicado y determinados paquetes usen la plantilla de enlace Spotlight. Están afectadas todas las versiones hasta la 7.5.9 incluida (CVE-2026-119156, CVSS 7.2). Actualice a la última versión.

CTX Feed – Product Feed Manager for WooCommerce (90.000 instalaciones activas)

Un fallo de inyección de código PHP permite a usuarios con sesión iniciada y acceso de Shop Manager o superior ejecutar código PHP arbitrario en el servidor, lo que puede llevar a la toma de control total del sitio; la opción correspondiente está activada por defecto. Están afectadas todas las versiones hasta la 8.0.26 incluida (CVE-2026-87964, CVSS 7.2). Actualice a la última versión o, si no hay actualización disponible, desactive y elimine el plugin, y revise qué cuentas tienen el rol de Shop Manager.

JetFormBuilder (80.000 instalaciones activas)

Dos fallos de cross-site scripting almacenado permiten a atacantes no autenticados inyectar scripts a través de envíos de formularios con configuraciones específicas. CVE-2026-111317 afecta a las versiones hasta la 3.6.7 incluida, y CVE-2026-119183 afecta a las versiones hasta la 3.6.8 incluida (ambos con CVSS 7.2). Actualice a la última versión.

Strong Testimonials (80.000 instalaciones activas)

Un fallo de cross-site scripting almacenado a través del parámetro star_rating permite a atacantes no autenticados inyectar scripts que se ejecutan cuando un administrador previsualiza un testimonio pendiente. Están afectadas todas las versiones hasta la 3.3.16 incluida (CVE-2026-115811, CVSS 7.2). Actualice a la última versión.

Form Maker by 10Web (30.000 instalaciones activas)

Un fallo de cross-site scripting almacenado en los campos ocultos de los formularios permite a atacantes no autenticados inyectar scripts que se ejecutan cuando un administrador abre el enlace de mapa de un envío. Están afectadas todas las versiones hasta la 1.15.50 incluida (CVE-2026-120512, CVSS 7.2). Actualice a la última versión.

Cómo comprobar sus sitios

Abra la página Plugins en el panel de WordPress de cada sitio y busque los plugins indicados arriba y sus versiones instaladas. Con WP-CLI, ejecute "wp plugin list" para ver los plugins instalados, sus versiones y las actualizaciones disponibles, y "wp plugin update " para actualizar un único plugin. Cuando no se ofrezca una versión corregida, desactive y elimine el plugin hasta que el desarrollador publique una actualización.

Fuentes

• https://nvd.nist.gov/vuln/detail/CVE-2026-107616
• https://nvd.nist.gov/vuln/detail/CVE-2026-109991