CVE-2024-1380
The Relevanssi – A Better Search plugin for WordPress is vulnerable to unauthorized access of data due to a missing capability check on the relevanssi_export_log_check() function in all versions up to, and including, 4.22.0 (Free) and 2.25.0 (Premium). This makes it possible for unauthenticated attackers to export the query log data. The vendor has indicated that they may look into adding a capability check for proper authorization control, however, this vulnerability is theoretically patched as is.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Wordfence
+ 20 vulnerabilidades conocidas más
| CVE |
Vulnerabilidad |
Tipo |
Gravedad |
Afectadas |
Corregido en |
Publicado |
Estado |
|
—
|
Relevanssi – A Better Search [relevanssi] < 4.14.6 |
— |
Desconocido
|
< 4.14.6
|
4.14.6 |
2022-02-15 |
✓ corregido en la última versión
|
|
—
|
Relevanssi – A Better Search [relevanssi] < 4.14.3 |
— |
Desconocido
|
< 4.14.3
|
4.14.3 |
2021-10-19 |
✓ corregido en la última versión
|
|
—
|
Relevanssi – A Better Search [relevanssi] < 4.14.4 |
— |
Desconocido
|
< 4.14.4
|
4.14.4 |
2021-10-19 |
✓ corregido en la última versión
|
|
—
|
Relevanssi – A Better Search [relevanssi] < 3.6.1 |
— |
Desconocido
|
< 3.6.1
|
3.6.1 |
2018-04-10 |
✓ corregido en la última versión
|
|
CVE-2018-9034
|
Relevanssi – A Better Search [relevanssi] < 4.0.5 |
Neutralización incorrecta de la entrada al generar la página web (Cross-site Scripting / XSS) |
Media
5,4
|
< 4.0.5
|
4.0.5 |
2018-03-30 |
✓ corregido en la última versión
|
|
CVE-2017-1000038
|
Relevanssi – A Better Search [relevanssi] < 3.5.8 |
Neutralización incorrecta de la entrada al generar la página web (Cross-site Scripting / XSS) |
Media
6,1
|
< 3.5.8
|
3.5.8 |
2017-02-28 |
✓ corregido en la última versión
|
|
—
|
Relevanssi – A Better Search [relevanssi] < 3.3 |
— |
Desconocido
|
< 3.3
|
3.3 |
2015-05-15 |
✓ corregido en la última versión
|
|
CVE-2014-9443
|
Relevanssi – A Better Search [relevanssi] < 3.3.8 |
Neutralización incorrecta de la entrada al generar la página web (Cross-site Scripting / XSS) |
Desconocido
|
< 3.3.8
|
3.3.8 |
2015-01-02 |
✓ corregido en la última versión
|
|
—
|
Relevanssi – A Better Search [relevanssi] < 3.4 |
— |
Desconocido
|
< 3.4
|
3.4 |
2014-03-04 |
✓ corregido en la última versión
|
|
—
|
Relevanssi – A Better Search [relevanssi] < 3.3.1 |
— |
Desconocido
|
< 3.3.1
|
3.3.1 |
2014-02-25 |
✓ corregido en la última versión
|
|
—
|
Relevanssi – A Better Search [relevanssi] < 2.7.3 |
— |
Desconocido
|
< 2.7.3
|
2.7.3 |
2011-02-24 |
✓ corregido en la última versión
|
|
CVE-2025-4054
|
Relevanssi – A Better Search [relevanssi] < 4.24.4 |
Neutralización incorrecta de la entrada al generar la página web (Cross-site Scripting / XSS) |
Media
6,1
|
< 4.24.4
|
4.24.4 |
0000-00-00 |
✓ corregido en la última versión
|
|
CVE-2025-4396
|
Relevanssi – A Better Search [relevanssi] < 4.24.5 |
Neutralización incorrecta de elementos especiales en un comando SQL (inyección SQL) |
Alta
7,5
|
< 4.24.5
|
4.24.5 |
0000-00-00 |
✓ corregido en la última versión
|
|
CVE-2025-5016
|
Relevanssi – A Better Search [relevanssi] < 4.24.6 |
Neutralización incorrecta de la entrada al generar la página web (Cross-site Scripting / XSS) |
Media
4,7
|
< 4.24.6
|
4.24.6 |
0000-00-00 |
✓ corregido en la última versión
|
|
—
|
Relevanssi – A Better Search [relevanssi] < 4.14.6 |
— |
Desconocido
|
< 4.14.6
|
4.14.6 |
— |
✓ corregido en la última versión
|
|
—
|
Relevanssi – A Better Search [relevanssi] < 4.14.3 |
— |
Desconocido
|
< 4.14.3
|
4.14.3 |
— |
✓ corregido en la última versión
|
|
—
|
Relevanssi – A Better Search [relevanssi] < 3.6.1 |
— |
Desconocido
|
< 3.6.1
|
3.6.1 |
— |
✓ corregido en la última versión
|
|
—
|
Relevanssi – A Better Search [relevanssi] < 2.7.3 |
— |
Desconocido
|
< 2.7.3
|
2.7.3 |
— |
✓ corregido en la última versión
|
|
—
|
Relevanssi – A Better Search [relevanssi] < 3.3 |
— |
Desconocido
|
< 3.3
|
3.3 |
— |
✓ corregido en la última versión
|
|
—
|
Relevanssi – A Better Search [relevanssi] < 4.22 |
— |
Desconocido
|
< 4.22
|
4.22 |
— |
✓ corregido en la última versión
|
Relevanssi – A Better Search [relevanssi] < 4.14.6
The Relevanssi – A Better Search plugin for WordPress is vulnerable to authorization bypass due to missing capability checks on several functions in versions before 4.14.6 in the free version and 2.16.5 in the PRO version. This makes it possible for authenticated attackers with Subscriber-level roles and above to perform unauthorized AJAX actions.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Wordfence
Relevanssi – A Better Search [relevanssi] < 4.14.3
Unauthenticated Stored Cross-Site Scripting (XSS) vulnerability discovered in WordPress Relevanssi plugin (versions <= 4.14.2).
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Patchstack
Relevanssi – A Better Search [relevanssi] < 4.14.4
The Relevanssi - A Better Search Free & Premium plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘$query_link ’ parameter in versions up to, and including, 2.16.3 & 4.14.3 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Wordfence
Relevanssi – A Better Search [relevanssi] < 3.6.1
The Relevanssi plugin for WordPress is vulnerable to generic SQL Injection via the ‘relevanssi_weight_’ parameter in versions up to, and including, 3.6.0 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers with administrative privileges to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Wordfence
CVE-2018-9034
Cross-site scripting (XSS) vulnerability in lib/interface.php of the Relevanssi plugin 4.0.4 for WordPress allows remote attackers to inject arbitrary JavaScript or HTML via the tab GET parameter.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
CVE.org
CVE-2017-1000038
WordPress plugin Relevanssi version 3.5.7.1 is vulnerable to stored XSS resulting in attacker being able to execute JavaScript on the affected site
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
CVE.org
Relevanssi – A Better Search [relevanssi] < 3.3
Because of this vulnerability, remote authenticated users can execute arbitrary SQL commands.
Update the plugin.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Patchstack
CVE-2014-9443
Cross-site scripting (XSS) vulnerability in the Relevanssi plugin before 3.3.8 for WordPress allows remote attackers to inject arbitrary web script or HTML via unspecified vectors.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
CVE.org
Relevanssi – A Better Search [relevanssi] < 3.4
Relevanssi plugin is prone to an SQL injection. This vulnerability allows an attacker to modify data, compromise the access and application or exploit hidden vulnerabilities in the underlying database.
Update the plugin.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Patchstack
Relevanssi – A Better Search [relevanssi] < 3.3.1
The Relevanssi plugin for WordPress is vulnerable to SQL Injection via the ‘category_name’ parameter in versions up to, and including, 3.3 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Wordfence
Relevanssi – A Better Search [relevanssi] < 2.7.3
Relevanssi plugin is prone to a stored cross-site scripting vulnerability that exists because of "search Query" variable is displayed and logged unsanitized in the "User Searches" section in the admin Dashboard. This vulnerability allows an attacker to inject malicious HTML code.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Patchstack
CVE-2025-4054
The Relevanssi – A Better Search plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the highlights functionality in all versions up to, and including, 4.24.3 (Free) and <= 2.27.4 (Premium), due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page via the search results.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Wordfence
CVE-2025-4396
The Relevanssi – A Better Search plugin for WordPress is vulnerable to time-based SQL Injection via the cats and tags query parameters in all versions up to, and including, 4.24.4 (Free) and <= 2.27.5 (Premium) due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries to already existing queries that can be used to extract sensitive information from the database.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Wordfence
CVE-2025-5016
The Relevanssi – A Better Search plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Excerpt Highlights in all versions up to, and including, 4.24.5 (Free) and 2.27.6 (Premium) due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Wordfence
Relevanssi – A Better Search [relevanssi] < 4.14.6
The plugins do not have authorisation and CSRF checks in some of their AJAX actions, allowing any authenticated users, such as subscriber, to call them. This could disclose information to subscribers, as well as allow them to truncate the index, which will disable the search
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
WPScan
Relevanssi – A Better Search [relevanssi] < 4.14.3
The plugin does not sanitise and escape user searches before outputting them in the related admin dashboard when the feature is enabled
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
WPScan
Relevanssi – A Better Search [relevanssi] < 3.6.1
The Relevanssi – A Better Search WordPress plugin was affected by an Authenticated Admin SQL Injection security vulnerability.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
WPScan
Relevanssi – A Better Search [relevanssi] < 2.7.3
The Relevanssi – A Better Search WordPress plugin was affected by a Stored XSS security vulnerability.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
WPScan
Relevanssi – A Better Search [relevanssi] < 3.3
The Relevanssi – A Better Search WordPress plugin was affected by an Unspecified SQL Injection security vulnerability.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
WPScan
Relevanssi – A Better Search [relevanssi] < 4.22
Update the WordPress Relevanssi plugin to the latest available version (at least 4.22).
An unknown person discovered and reported this Sensitive Data Exposure vulnerability in WordPress Relevanssi Plugin. This vulnerability has been fixed in version 4.22.
Have additional information or questions about this entry? Get in touch.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente:
Patchstack
Mantén Relevanssi actualizado — 4.27.2 es la última versión en wordpress.org, y cada CVE de arriba indica la versión exacta que lo corrigió ("Corregido en").
Este es el historial completo de vulnerabilidades conocidas del plugin, no un escaneo de una instalación específica — ejecuta un escaneo gratis de tu propio sitio para verificar tu versión instalada exacta.