Fuente base de datos: Wordfence Intelligence

WP-DownloadManager <= 1.69 - Authenticated (Administrator+) Path Traversal to Arbitrary File Read via 'download_path' Parameter

PLUGIN LOW CVE-2026-2419

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Local File Inclusion (LFI) en el plugin WP-DownloadManager hasta la versión 1.69. Esta falla permite a un administrador autenticado acceder a archivos arbitrarios a través del parámetro 'download_path'.

Contexto técnico

La vulnerabilidad se origina en el manejo inadecuado del parámetro 'download_path', lo que permite a los atacantes autenticados realizar ataques de traversía de directorios. Esto implica que un atacante podría manipular la ruta de descarga para acceder a archivos del sistema que no deberían ser accesibles.

Impacto potencial

Aunque la gravedad de la vulnerabilidad se clasifica como baja (CVSS 2.7), el acceso a archivos sensibles podría comprometer la seguridad del sistema y exponer información confidencial, lo que podría tener repercusiones en la confianza del cliente y la integridad del negocio.

Vector de explotación

La explotación de esta vulnerabilidad requiere que el atacante tenga acceso como administrador. Esto se puede realizar manipulando el parámetro 'download_path' en las solicitudes al plugin, lo que permite leer archivos arbitrarios del servidor.

Mitigación recomendada

Se recomienda actualizar el plugin WP-DownloadManager a la versión 1.69.1 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar la configuración de permisos de archivos y directorios en el servidor para limitar el acceso no autorizado.

Señales de detección

Se deben monitorizar los registros de acceso y error del servidor en busca de patrones inusuales relacionados con el acceso al parámetro 'download_path'. También es recomendable implementar herramientas de seguridad que alerten sobre intentos de acceso a archivos sensibles.

Alcance afectado

Las versiones del plugin WP-DownloadManager hasta la 1.69 son las afectadas. No se ha indicado información sobre versiones anteriores o futuras que puedan estar en riesgo.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

wp-downloadmanager

WP-DownloadManager <= 1.69 - Authenticated (Administrator+) Path Traversal to Arbitrary File Deletion via 'file' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto