Vulnerabilidades conocidas, compatibilidad con PHP y alternativas más seguras para el plugin de WordPress Export All Urls — verificado contra la base de datos de seguridad local de WP Clinic.
Qué hace este plugin
- Slug:
export-all-urls
- 50000+ instalaciones activas
csvexportJSONlinksurls
Estado de mantenimiento
- Última versión conocida: 6.0
- Requiere PHP: 5.4+
- PHP máximo soportado (analizado): 8.4
Vulnerabilidades conocidas
7 CVEs conocidos registrados para Export All Urls.
| CVE |
Vulnerabilidad |
Tipo |
Gravedad |
Afectadas |
Corregido en |
Publicado |
Estado |
|
CVE-2023-3118
|
Export All URLs [export-all-urls] < 4.6 |
Neutralización incorrecta de la entrada al generar la página web (Cross-site Scripting / XSS) |
Media
6,1
|
< 4.6
|
4.6 |
2023-06-19 |
✓ corregido en la última versión
|
|
CVE-2022-27856
|
Export All URLs [export-all-urls] < 4.2 |
Neutralización incorrecta de la entrada al generar la página web (Cross-site Scripting / XSS) |
Baja
3,4
|
< 4.2
|
4.2 |
2023-05-10 |
✓ corregido en la última versión
|
|
CVE-2022-2638
|
Export All URLs [export-all-urls] < 4.4 |
Control externo del nombre o la ruta de un archivo |
Media
6,5
|
< 4.4
|
4.4 |
2022-08-08 |
✓ corregido en la última versión
|
|
CVE-2022-29452
|
Export All URLs [export-all-urls] < 4.2 |
Neutralización incorrecta de la entrada al generar la página web (Cross-site Scripting / XSS) |
Baja
3,4
|
< 4.2
|
4.2 |
2022-05-27 |
✓ corregido en la última versión
|
|
CVE-2022-0892
|
Export All URLs [export-all-urls] < 4.2 |
Neutralización incorrecta de la entrada al generar la página web (Cross-site Scripting / XSS) |
Media
6,1
|
< 4.2
|
4.2 |
2022-03-21 |
✓ corregido en la última versión
|
|
CVE-2022-0914
|
Export All URLs [export-all-urls] < 4.3 |
Falsificación de petición en sitios cruzados (CSRF) |
Media
6,5
|
< 4.3
|
4.3 |
2022-03-21 |
✓ corregido en la última versión
|
|
CVE-2026-2696
|
Export All URLs [export-all-urls] < 5.1 |
— |
Desconocido
|
< 5.1
|
5.1 |
0000-00-00 |
✓ corregido en la última versión
|
CVE-2023-3118
The Export All URLs plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'starting-point' and 'ending-point' parameters in versions up to, and including, 4.5 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Wordfence
CVE-2022-27856
The plugin does not sanitize and escape the url and title fields when exporting a list of posts, which could allow users with editor role or higher to perform Stored Cross-Site Scripting attacks even when the unfiltered_html capability is disallowed (for example in multisite setup).
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
WPScan
CVE-2022-2638
The Export All URLs for WordPress is vulnerable to arbitrary file deletion in versions up to, and including, 4.3 due to missing file path and type validation in the ~/extract-all-urls-settings.php file on the 'f' parameter. This makes it possible for authenticated attackers with administrative privileges to deleted arbitrary files hosted on the server.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Wordfence
CVE-2022-29452
The Export All URLs plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 4.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with editor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Wordfence
CVE-2022-0892
The Export All URLs WordPress plugin before 4.2 does not sanitise and escape the CSV filename before outputting it back in the page, leading to a Reflected Cross-Site Scripting
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
CVE.org
CVE-2022-0914
The Export All URLs WordPress plugin before 4.3 does not have CSRF in place when exporting data, which could allow attackers to make a logged in admin export all posts and pages (including private and draft) into an arbitrary CSV file, which the attacker can then download and retrieve the list of titles for example
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
CVE.org
CVE-2026-2696
The Export All URLs plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to 5.1 (exclusive). This makes it possible for unauthenticated attackers to extract sensitive user or configuration data.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Wordfence
Cómo solucionarlo
Mantén Export All Urls actualizado — 6.0 es la última versión en wordpress.org, y cada CVE de arriba indica la versión exacta que lo corrigió ("Corregido en").
Este es el historial completo de vulnerabilidades conocidas del plugin, no un escaneo de una instalación específica — ejecuta un escaneo gratis de tu propio sitio para verificar tu versión instalada exacta.
Alternativas más seguras / más establecidas