Fuente base de datos: Wordfence Intelligence

WooCommerce Product Filters < 2.0.6 - Unauthenticated PHP Object Injection

PLUGIN HIGH CVE-2026-40725

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de ejecución remota de código (RCE) en el plugin WooCommerce Product Filters, afectando a versiones anteriores a la 2.0.6. Esta falla permite a un atacante no autenticado ejecutar código malicioso, comprometiendo la seguridad operativa del sitio web.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja objetos PHP, lo que permite la inyección de código malicioso. Los atacantes pueden explotar esta debilidad a través de peticiones HTTP específicas, sin necesidad de autenticación previa.

Impacto potencial

El impacto potencial incluye la ejecución de código no autorizado, lo que puede llevar a la pérdida de datos, alteración de la funcionalidad del sitio y acceso no autorizado a la información sensible. Esto puede comprometer la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Los atacantes suelen enviar solicitudes manipuladas al servidor que contienen objetos PHP maliciosos, lo que desencadena la ejecución del código no autorizado en el contexto del servidor web.

Mitigación recomendada

Actualizar el plugin WooCommerce Product Filters a la versión 2.0.6 o superior. Revisar los registros de acceso para identificar posibles intentos de explotación. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web (WAF).

Señales de detección

Señales a observar incluyen entradas inusuales en los registros de acceso, así como cambios inesperados en la configuración del plugin o en los archivos del sistema.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.0.6 del plugin WooCommerce Product Filters. No se han confirmado casos en versiones posteriores.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

hippoo

Hippoo Mobile App for WooCommerce <= 1.9.4 - Unauthenticated Authentication Bypass to Administrator Account Takeover via REST API

HIGH PLUGIN

codepress-admin-columns

Admin Columns <= 7.0.18 - Authenticated (Contributor+) PHP Object Injection to Remote Code Execution via Custom Field Meta Value

MEDIUM PLUGIN

wpforms-lite

WPForms <= 1.10.0.4 - Unauthenticated Insufficient Verification of Data Authenticity via PayPal Commerce Webhook Endpoint

HIGH PLUGIN

content-visibility-for-divi-builder

Content Visibility for Divi Builder <= 4.02 - Authenticated (Contributor+) Remote Code Execution

MEDIUM PLUGIN

woo-jtl-connector

JTL-Connector for WooCommerce <= 2.4.1 - Missing Authorization to Authenticated (Subscriber+) Settings Modification via Multiple Functions

CRITICAL PLUGIN

webinar-ignition

WebinarIgnition – Live, Automated & Evergreen Webinar System also for WooCommerce < 4.08.253 - Unauthenticated Privilege Escalation

HIGH PLUGIN

webinar-ignition

WebinarIgnition – Live, Automated & Evergreen Webinar System also for WooCommerce < 4.08.253 - Authenticated (Subscriber+) Arbitrary File Deletion

MEDIUM PLUGIN

wc-multivendor-membership

WCFM Membership – WooCommerce Memberships for Multivendor Marketplace <= 2.11.10 - Missing Authorization

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto