[monkeyvuln] / [vulnerabilidades] / plugin
WCFM – Frontend Manager for WooCommerce
wc-frontend-manager
alta 5media 4baja 1sin dato 3
∴ actualiza a la versión 6.7.28 o superior para cerrar todos los fallos
Datos actualizados el 19 de septiembre de 2026.
- alta 8.8CVE-2021-24835
SQL Injection (SQLi) vulnerability
- versiones afectadas:
- < 6.5.12
- corregido en:
- 6.5.12
- publicada:
- 2021-11-08
- alta 8.8CVE-2022-4938
Cross Site Request Forgery (CSRF)
- versiones afectadas:
- < 6.6.0
- corregido en:
- 6.6.0
- publicada:
- 2023-04-05
- alta 8.8CVE-2022-4937
Broken Access Control
- versiones afectadas:
- < 6.6.1
- corregido en:
- 6.6.1
- publicada:
- 2023-04-05
- alta 8.8CVE-2024-8290
Privilege Escalation
- versiones afectadas:
- < 6.7.13
- corregido en:
- 6.7.13
- publicada:
- 2024-09-25
- alta 8.1CVE-2026-2554
Authenticated (Vendor+) Insecure Direct Object Reference to Arbitrary User Deletion
- versiones afectadas:
- < 6.7.26
- corregido en:
- 6.7.26
- publicada:
- 2026-05-02
- media 5.9CVE-2024-29929
Cross Site Scripting (XSS)
- versiones afectadas:
- < 6.7.9
- corregido en:
- 6.7.9
- publicada:
- 2024-03-27
- media 6.5CVE-2025-3780
Missing Authorization to Unauthenticated Plugin Settings Modification
- versiones afectadas:
- < 6.7.17
- corregido en:
- 6.7.17
- publicada:
- 2025-07-08
- media 4.3CVE-2026-10041
Authenticated (Subscriber+) Missing Authorization to Arbitrary Vendor Data Manipulation via Multiple AJAX Handlers
- versiones afectadas:
- < 6.7.28
- corregido en:
- 6.7.28
- publicada:
- 2026-07-11
- media 5.3CVE-2026-12994
Missing Authorization to Unauthenticated Arbitrary Inquiry Reply Injection via wcfm-my-account-enquiry-manage Controller
- versiones afectadas:
- < 6.7.28
- corregido en:
- 6.7.28
- publicada:
- 2026-07-11
- baja 2.7CVE-2025-54004
Missing Authorization
- versiones afectadas:
- < 6.7.25
- corregido en:
- 6.7.25
- publicada:
- 2025-12-16
- sin dato
Unauthenticated SQL Injection (SQLi) vulnerability
- versiones afectadas:
- < 6.6.2
- corregido en:
- 6.6.2
- publicada:
- 2022-02-19
- sin datoCVE-2026-4896
Insecure Direct Object References to Autenticated (Vendor+) Arbitrary Post/Product Manipulation
- versiones afectadas:
- < 6.7.26
- corregido en:
- 6.7.26
- publicada:
- 2026-04-03
- sin datoCVE-2026-0845
Authenticated (Shop Manager+) Arbitrary Options Update
- versiones afectadas:
- < 6.7.25
- corregido en:
- 6.7.25
- publicada:
- 2026-02-09
¿Tu WordPress usa este plugin? Compruébalo en menos de un minuto.
[comprueba si tu wordpress es vulnerable]