Fuente base de datos: Wordfence Intelligence

ShortPixel Image Optimizer – Optimize Images, Convert WebP & AVIF <= 6.4.3 - Authenticated (Author+) PHP Object Injection en Shortpixel Image Optimiser (vulnerabilidad) - version 6.4.4

PLUGIN HIGH CVE-2026-39471

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección de objetos PHP en el plugin ShortPixel Image Optimizer, afectando a versiones hasta la 6.4.3. Esta falla de alta severidad puede comprometer la seguridad del sitio, permitiendo a un atacante autenticado ejecutar código malicioso.

Contexto técnico

La vulnerabilidad se encuentra en el plugin ShortPixel Image Optimizer, específicamente en su capacidad para procesar imágenes. La inyección de objetos PHP puede ser desencadenada por un atacante autenticado que envíe datos manipulados a través de formularios o solicitudes específicas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de código arbitrario en el servidor, lo que puede llevar a la toma de control total del sitio web. Esto puede resultar en la pérdida de datos, alteración de contenido y daño a la reputación de la marca.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando peticiones manipuladas a través de la interfaz del plugin, aprovechando la autenticación para eludir ciertas medidas de seguridad.

Mitigación recomendada

Actualizar el plugin ShortPixel Image Optimizer a la versión 6.4.4 o posterior para corregir la vulnerabilidad. Revisar los registros de actividad para identificar accesos no autorizados o inusuales. Implementar medidas de seguridad adicionales, como la limitación de permisos de usuario y la monitorización de cambios en el sistema.

Señales de detección

Señales que pueden indicar explotación incluyen registros de errores PHP inusuales, intentos de acceso a funciones del plugin desde cuentas de usuario no autorizadas y cambios inesperados en archivos del servidor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 6.4.4 del plugin ShortPixel Image Optimizer. No se han confirmado casos en versiones posteriores.