SEGURIDAD DE PLUGINS
Vulnerabilidades conocidas, compatibilidad con PHP y alternativas más seguras para el plugin de WordPress Anycomment — verificado contra la base de datos de seguridad local de WP Clinic.
anycommentajax commentscommentcomment moderationcommentsComments SEO
7 CVEs conocidos registrados para Anycomment. Reportadas entre 2018 y 2025.
| CVE | Vulnerabilidad | Tipo | Gravedad | Afectadas | Corregido en | Publicado | Estado |
|---|---|---|---|---|---|---|---|
| — | AnyComment [anycomment] <= 0.3.6 (unfixed) | Falta de control de autorización | Desconocido | < 0.3.6 | 0.3.6 | 2025-12-31 | ✓ corregido en la última versión |
| CVE-2025-48091 | AnyComment [anycomment] <= 0.3.6 (unfixed) | Neutralización incorrecta de elementos especiales en un comando SQL (inyección SQL) | Alta 8,5 | < 0.3.6 | 0.3.6 | 2025-10-08 | ✓ corregido en la última versión |
| CVE-2025-60240 | AnyComment [anycomment] <= 0.3.6 (unfixed) | Control incorrecto del nombre de archivo en una sentencia include/require de PHP (inclusión remota de archivos PHP / RFI) | Alta 7,5 | < 0.3.6 | 0.3.6 | 2025-07-12 | ✓ corregido en la última versión |
| CVE-2023-33999 | AnyComment [anycomment] < 0.0.99 | Neutralización incorrecta de la entrada al generar la página web (Cross-site Scripting / XSS) | Alta 7,1 | < 0.0.99 | 0.0.99 | 2023-07-18 | ✓ corregido en la última versión |
| CVE-2022-0134 | AnyComment [anycomment] < 0.2.18 | Falsificación de petición en sitios cruzados (CSRF) | Alta 8,8 | < 0.2.18 | 0.2.18 | 2022-01-19 | ✓ corregido en la última versión |
| CVE-2022-0279 | AnyComment [anycomment] < 0.2.18 | Ejecución concurrente con recursos compartidos y sincronización incorrecta (condición de carrera / race condition) | Baja 3,1 | < 0.2.18 | 0.2.18 | 2022-01-19 | ✓ corregido en la última versión |
| CVE-2021-24838 | AnyComment [anycomment] < 0.3.5 | Redirección de URL a un sitio no confiable (Open Redirect) | Media 6,1 | < 0.3.5 | 0.3.5 | 2021-12-20 | ✓ corregido en la última versión |
| CVE-2018-21001 | AnyComment [anycomment] < 0.0.33 | Neutralización incorrecta de la entrada al generar la página web (Cross-site Scripting / XSS) | Media 6,1 | < 0.0.33 | 0.0.33 | 2018-07-17 | ✓ corregido en la última versión |
The AnyComment plugin for WordPress is vulnerable to unauthorized access due to a missing capability check on a function in versions up to, and including, 0.3.6. This makes it possible for authenticated attackers, with subscriber-level access and above, to perform an unauthorized action.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Wordfence
The AnyComment plugin for WordPress is vulnerable to SQL Injection in versions up to, and including, 0.3.6 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with subscriber-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Wordfence
The AnyComment plugin for WordPress is vulnerable to Local File Inclusion in versions up to, and including, 0.3.6. This makes it possible for unauthenticated attackers to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where images and other "safe" file types can be uploaded and included.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Wordfence
Update the WordPress AnyComment plugin to the latest available version. Rafie Muhammad (Patchstack) discovered and reported this Cross Site Scripting (XSS) vulnerability in WordPress AnyComment Plugin. This could allow a malicious actor to inject malicious scripts, such as redirects, advertisements, and other HTML payloads into your website which will be executed when guests visit your site. This vulnerability has been fixed in version 0.0.99.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Patchstack
The AnyComment WordPress plugin before 0.2.18 does not have CSRF checks in the Import and Revert HyperComments features, allowing attackers to make logged in admin perform such actions via a CSRF attack
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: CVE.org
The AnyComment WordPress plugin before 0.2.18 is affected by a race condition when liking/disliking a comment/reply, which could allow any authenticated user to quickly raise their rating or lower the rating of other users
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: CVE.org
The AnyComment plugin for WordPress is vulnerable to Open Redirect in versions up to, and including, 0.3.4. This is due to an API endpoint which passes user input via the redirect parameter to the wp_redirect() function without being validated first. This makes it possible for unauthenticated attackers to create redirect links using the site.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Wordfence
The AnyComment plugin for WordPress is vulnerable to Cross-Site Scripting in versions up to, and including, 0.0.32 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that execute in a victim's browser.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Wordfence
Mantén Anycomment actualizado — 0.3.6 es la última versión en wordpress.org, y cada CVE de arriba indica la versión exacta que lo corrigió ("Corregido en").
Este es el historial completo de vulnerabilidades conocidas del plugin, no un escaneo de una instalación específica — ejecuta un escaneo gratis de tu propio sitio para verificar tu versión instalada exacta.
Ejecuta un escaneo pasivo gratis ahora, o crea una cuenta gratuita e instala el plugin de WP Clinic para un escaneo profundo de toda tu cuenta de hosting y reparación asistida por IA.