11,800 CVE de WordPress, 7 en CISA KEV: los plugins que los atacantes usan de verdad
Todos los avisos de núcleo, plugins y temas de WordPress de nuestro feed, clasificados por explotación real (CISA KEV + EPSS). Los plugins con más avisos no son los que están siendo atacados; los que lo están son plugins de copia de seguridad, gestión de archivos y formularios con fallos de subida no autenticada o RCE.
Qué cubre el feed
12,328 avisos contra 11,795 CVE distintos: núcleo de WordPress, 11,818 avisos de plugins y 165 avisos de temas, a partir de datos de NVD y Wordfence.
Los plugins con más avisos no son los que están siendo atacados
Si ordenara por número de avisos, se preocuparía por estos diez. La segunda columna es el EPSS más alto que alcanza cualquiera de sus CVE.
royal-elementor-addons alcanza su máximo en 86%; ninja-forms alcanza su máximo en 62%; easy-digital-downloads alcanza su máximo en 11%; download-manager alcanza su máximo en 11%; ultimate-member alcanza su máximo en 89%; photo-gallery alcanza su máximo en 75%. El volumen de avisos mide cuánto se audita un plugin, no cuánto se explota.
Los 7 CVE de WordPress en CISA KEV
Explotación confirmada en entornos reales. 6 plugins, 2 núcleo. Patrón: subida de archivos no autenticada o RCE en plugins de copia de seguridad, gestión de archivos y formularios — el tipo de fallo que un escáner puede explotar sin una cuenta.
| Componente | CVE | Qué | Severidad | EPSS | Corregido en |
|---|---|---|---|---|---|
| duplicator (WordPress plugin) | CVE-2020-11738 KEV | The Snap Creek Duplicator plugin before 1.3.28 for WordPress (and Duplicator Pro before 3.8.7.1) all | high 7.5 | 98% | 3.8.7.1 |
| wp-file-manager (WordPress plugin) | CVE-2020-25213 KEV | Unauthenticated arbitrary file upload to RCE via the elFinder connector | critical 10.0 | 97% | 6.9 |
| contact-form-7 (WordPress plugin) | CVE-2020-35489 KEV | Unrestricted file upload via unsanitised filenames (double extension) | critical 10.0 | 89% | 5.3.2 |
| social-warfare (WordPress plugin) | CVE-2019-9978 KEV | The social-warfare plugin before 3.5.3 for WordPress has stored XSS via the wp-admin/admin-post.php? | medium 6.1 | 73% | 3.5.3 |
| social-warfare-pro (WordPress plugin) | CVE-2019-9978 KEV | The social-warfare plugin before 3.5.3 for WordPress has stored XSS via the wp-admin/admin-post.php? | medium 6.1 | 73% | 3.5.3 |
| litespeed-cache (WordPress plugin) | CVE-2024-28000 KEV | Unauthenticated privilege escalation to administrator via weak hash in the crawler | critical 9.8 | 68% | 6.4 |
| WordPress core | CVE-2026-63030 KEV | WordPress 6.9.x before 6.9.5 and 7.0.x before 7.0.2 is affected by a REST API batch endpoint route c | critical 9.8 | 11% | 6.9.5, 7.0.2 |
| WordPress core | CVE-2026-60137 KEV | WordPress 6.8.x before 6.8.6, 6.9.x before 6.9.5, and 7.0.x before 7.0.2 does not properly sanitise | medium 5.9 | 5% | 6.8.6, 6.9.5, 7.0.2 |
Explotados pero no en KEV: EPSS ≥ 50%
151 CVE de WordPress tienen al menos un 50% de probabilidad de explotación en los próximos 30 días; 551 están por encima del 10%. KEV lista 7. Si su instrumental solo conoce KEV, está ciego ante la mayor parte de la superficie de ataque activa en WordPress. Los 15 principales que no están en KEV:
| Componente | CVE | Qué | Severidad | EPSS | Corregido en |
|---|---|---|---|---|---|
| backup-backup (WordPress plugin) | CVE-2023-6553 | The Backup Migration plugin for WordPress is vulnerable to Remote Code Execution in all versions up | critical 9.8 | 98% | — |
| WordPress core | CVE-2022-21661 | WordPress is a free and open-source content management system written in PHP and paired with a Maria | high 8.0 | 98% | 3.7.37, 3.8.37, 3.9.35 |
| chop-slider (WordPress plugin) | CVE-2020-11530 | A blind SQL injection vulnerability is present in Chop Slider 3, a WordPress plugin. The vulnerabili | critical 9.8 | 95% | — |
| wpdiscuz (WordPress plugin) | CVE-2020-24186 | A Remote Code Execution vulnerability exists in the gVectors wpDiscuz plugin 7.0 through 7.0.4 for W | critical 10.0 | 95% | — |
| payment-form-for-paypal-pro (WordPress plugin) | CVE-2020-14092 | The CodePeople Payment Form for PayPal Pro plugin before 1.1.65 for WordPress allows SQL Injection. | critical 9.8 | 95% | 1.1.65 |
| wp-time-capsule (WordPress plugin) | CVE-2024-8856 | The Backup and Staging by WP Time Capsule plugin for WordPress is vulnerable to arbitrary file uploa | critical 9.8 | 94% | 1.22.22 |
| wp-file-upload (WordPress plugin) | CVE-2024-9047 | The WordPress File Upload plugin for WordPress is vulnerable to Path Traversal in all versions up to | critical 9.8 | 93% | 4.24.12 |
| wp-simple-firewall (WordPress plugin) | CVE-2023-0992 | The Shield Security plugin for WordPress is vulnerable to stored Cross-Site Scripting in versions up | high 7.2 | 93% | — |
| elementor (WordPress plugin) | CVE-2022-1329 | The Elementor Website Builder plugin for WordPress is vulnerable to unauthorized execution of severa | high 8.8 | 93% | — |
| paid-memberships-pro (WordPress plugin) | CVE-2023-23488 | The Paid Memberships Pro WordPress Plugin, version < 2.9.8, is affected by an unauthenticated SQL in | critical 9.8 | 92% | 2.9.8 |
| WordPress core | CVE-2019-8943 | WordPress through 5.0.3 allows Path Traversal in wp_crop_image(). An attacker (who has privileges to | medium 6.5 | 92% | — |
| sexy-contact-form (WordPress plugin) | CVE-2014-8739 | Unrestricted file upload vulnerability in server/php/UploadHandler.php in the jQuery File Upload Plu | critical 9.8 | 92% | 1.0.0 |
| smart-google-code-inserter (WordPress plugin) | CVE-2018-3810 | Authentication Bypass vulnerability in the Oturia Smart Google Code Inserter plugin before 3.5 for W | critical 9.8 | 91% | 3.5 |
| post-smtp (WordPress plugin) | CVE-2023-6875 | The POST SMTP Mailer – Email log, Delivery Failure Notifications and Best Mail SMTP for WordPress pl | critical 9.8 | 90% | — |
| ultimate-member (WordPress plugin) | CVE-2024-1071 | The Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Mem | critical 9.8 | 89% | 2.8.3 |
Qué hacer
- Priorice por EPSS, no por la frecuencia con que un plugin aparece en los avisos. Los plugins de copia de seguridad y gestión de archivos con fallos de subida van primero.
- Elimine, no solo desactive. Los archivos PHP de un plugin desactivado siguen siendo alcanzables en la mayoría de las instalaciones.
- Escanee la instalación, no la lista de plugins.
phpwarden wordpress /var/www/htmllee las versiones del núcleo, los plugins y los temas desde el disco y las clasifica de esta manera.
Compruebe su propio proyecto con un solo comando
Cero dependencias, sin conexión, Apache-2.0. Clasifica por KEV → EPSS → CVSS.
composer require --dev phpwarden/phpwarden # PHP projects → vendor/bin/phpwarden
vendor/bin/phpwarden deps composer.lock # Composer
vendor/bin/phpwarden scan # PHP engine on this host
vendor/bin/phpwarden wordpress /var/www/html # WordPress core, plugins, themesEn CI: uses: oroma-alfred/phpwarden-action@v1
con fail-on: exploited. O composer require --dev phpwarden/phpwarden.