WPScan
Solución de inteligencia de vulnerabilidades y escaneo de seguridad enfocada en WordPress que combina una base de datos de vulnerabilidades (core, plugins y themes), una API para consulta e integración en procesos internos y un escáner CLI de tipo "black box" para enumerar versión y componentes del sitio objetivo y correlacionarlos con vulnerabilidades conocidas.
descripcion
WPScan es una solución de inteligencia de vulnerabilidades y escaneo de seguridad orientada a WordPress que combina una base de datos de vulnerabilidades (core, plugins y themes), una API para consultarla e integrarla en procesos y herramientas, y un escáner CLI “black box” para identificar versión, componentes y vulnerabilidades conocidas asociadas en un sitio objetivo.
aplicacion profesional
Sirve para: (a) inventariar y enumerar componentes WordPress (versión, plugins, themes) y mapearlos contra vulnerabilidades conocidas mediante el WPScan CLI; (b) integrar datos de vulnerabilidades en pipelines (CI/CD), GRC o herramientas internas usando la WPScan API (consultas por versión/slug/ID); (c) habilitar alertas y automatizaciones (p. ej., webhooks/alertas en planes Enterprise) cuando se publica una nueva vulnerabilidad relevante; (d) obtener exportaciones/“database dumps” (según disponibilidad Enterprise) para integración con plataformas corporativas bajo condiciones de uso específicas.
precio
Según la página pública de precios: (1) “Researcher”: gratuito para uso no comercial, con límite de 25 llamadas API/día; (2) “Enterprise”: precio bajo presupuesto (“Get a quote”) con pricing dependiente del número de sitios y capacidades adicionales (endpoints restringidos, alertas, webhooks, PoC, CVSS, etc.). Para uso comercial de la API se indica que requiere licencia de pago (presupuesto).
puntos a favor
- Base de datos de vulnerabilidades específica de WordPress consumible vía API (core/plugins/themes).
- Vulnerabilidades con indicador de verificación (“Verified”) y proceso de alta/actualización continuo según documentación pública.
- WPScan es CNA (capacidad de asignar CVE para vulnerabilidades de WordPress core/plugins/themes, según anuncio oficial).
- CLI scanner orientado a profesionales (enfoque black box).
- Posibilidad de integrarlo en flujos automatizados (API y, en Enterprise, webhooks y endpoints adicionales).
puntos en contra
- Restricciones de uso del dato: no se permite el almacenamiento permanente ni el caching de datos de vulnerabilidades, ni el scraping.
- La API no ofrece garantía de disponibilidad y puede cambiar.
- Para integrar datos en productos/servicios propios se requiere cuenta Enterprise.
- El plan gratuito de investigación tiene un límite bajo (25 llamadas API/día), insuficiente para inventarios grandes o escaneos masivos.