Búsqueda de CVE / KEV
Introduce un identificador CVE para ver la gravedad (CVSS), la probabilidad de explotación (EPSS), si tiene explotación confirmada (CISA KEV) y pistas de remediación en un solo lugar. Primero la base de datos de feeds de este sitio, con respaldo en vivo de NVD/FIRST.
- Envío
- El ID de CVE, al servidor de este sitio
- Almacenamiento
- Las consultas no se guardan (el ID puede quedar en URL y registros)
- API externa
- El servidor envía el ID de CVE a NVD, OSV.dev y FIRST
- Destino
- Solo ID de CVE públicos
Detalles
- Al consultar, el ID de CVE se envía al servidor de este sitio. El servidor lee la base de datos del sitio y, si hace falta, envía el ID de CVE a las API públicas de NVD, OSV.dev y FIRST (EPSS).
- Las consultas no se registran en la base de datos. El ID de CVE forma parte de la URL, por lo que puede quedar en el historial del navegador y en los registros de acceso.
- Las versiones o configuraciones que introduzcas en los campos de comparación del resultado se procesan solo en tu navegador. No introduzcas nada que no sea un ID de CVE (contraseñas, datos personales ni credenciales).
- La carga de la página en sí queda en el registro de acceso (dirección IP, hora, agente de usuario, etc.). Las páginas de herramientas no cargan anuncios ni analítica. Política de privacidad
NVD record state: Not currently scheduled for analysis
This describes NVD analysis work, not whether your product/version is affected. Pending, unscheduled or missing analysis does not establish safety or lack of impact.
NVD state stored by this site; the latest state was not rechecked for this lookup.
Reported state: Deferred
NVD record modification: 2026-11-10T22:21:14.137ZThis is not the retrieval or rejection time. Consult the original for the full change history.
Stored description; verify against the original record
The Basel Post Types plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 1.18. The vulnerability exists because a missing-quotes coding error in the defined() call for SECURE_AUTH_SALT inside BASEL_Auth::get_config() causes PHP to evaluate the constant's value rather than its name, making the check always fail and permanently falling back to the static hardcoded salt 2NlBUibcszrVtNmDnxqDbwCOpLWq91eatIz6O1O that is publicly visible in the theme source code; because this salt is static and known, an attacker can compute a valid Opauth signature entirely offline and submit a forged ?opauth callback to the unauthenticated init hook endpoint processed by register_or_login. This makes it possible for unauthenticated attackers to authenticate as any existing WordPress user, including administrators, by forging a callback tied to a known target account email address — bypassing all password verification, multi-factor authentication, and ownership checks, and receiving a fully authenticated session cookie via wc_set_customer_auth_cookie(). Exploitation requires WooCommerce to be active and at least one Basel social-login provider (Facebook, Google, or VKontakte) to be configured with a valid app_id and app_secret in the theme settings.
Stored representative assessment
Assessor: security@wordfence.com / primary
Reported vector (score not recalculated): CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Compare CVSS assessors, versions and vectors (1)
CVSS Base describes severity, not the probability your system is compromised. For NVD records the display policy is the latest available version, then Primary within that version, then reported order. This does not maximize scores or identify Primary as NVD. Examine the platform and vectors; do not average different assessments.
Assessments below are from a stored NVD record, not a current recheck or complete history. At most the first 16 per version. An assessor is not inferred for legacy representative-only data.
CVSS 3.1 / 9.8
Assessor: security@wordfence.com / primary
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CISA KEV records confirmed real-world exploitation, not continuous attack monitoring or compromise of your environment. EPSS forecasts observed exploitation over the next 30 days from its evaluation date, not the probability your site is compromised. Percentile is relative rank; the trend shows earlier daily forecasts. Low EPSS does not cancel confirmed KEV evidence. A CISA catalog due date is not treated as a universal legal deadline.
- CWE-287Improper Authentication
This product uses the NVD API but is not endorsed or certified by the NVD. Exploited-vulnerability data: CISA KEV (CC0). EPSS: see EPSS at https://www.first.org/epss. CWE™ is a trademark of The MITRE Corporation. Open source package data: OSV.dev / GitHub Advisory Database (CC BY 4.0).
Cómo usarla
- 1
Introduce el identificador CVE que te interesa (p. ej. CVE-2021-44228).
- 2
Se muestran CVSS, EPSS, KEV (explotación confirmada) y pistas de remediación.
- 3
Profundiza con «el análisis de este sitio» o la página «NVD oficial».
Por qué importa
Preguntas frecuentes
Q¿Qué es KEV?
El catálogo de CISA recoge vulnerabilidades con explotación real confirmada. Es evidencia para priorizar, pero no demuestra ataques que continúen ahora ni que tu entorno esté comprometido.
Q¿EPSS frente a CVSS?
CVSS Base describe la gravedad. EPSS estima la explotación observada en los 30 días siguientes a su fecha de evaluación, no la probabilidad de compromiso de tu sistema. Considera producto, versión y exposición.
Q¿Puedo buscar cualquier CVE?
Se consulta primero la base de este sitio y NVD para información faltante. Una ausencia local o un fallo de consulta no demuestra ausencia de KEV ni falta de impacto.