Fuente base de datos: Wordfence Intelligence

WooCommerce Product Filters 2.0.0 - 2.0.5 - Unauthenticated PHP Object Injection - version 2.0.6

PLUGIN HIGH CVE-2026-40725

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de ejecución remota de código (RCE) en el plugin WooCommerce Product Filters, afectando a versiones anteriores a la 2.0.6. Esta falla permite a un atacante no autenticado ejecutar código malicioso, comprometiendo la seguridad operativa del sitio web.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja objetos PHP, lo que permite la inyección de código malicioso. Los atacantes pueden explotar esta debilidad a través de peticiones HTTP específicas, sin necesidad de autenticación previa.

Impacto potencial

El impacto potencial incluye la ejecución de código no autorizado, lo que puede llevar a la pérdida de datos, alteración de la funcionalidad del sitio y acceso no autorizado a la información sensible. Esto puede comprometer la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Los atacantes suelen enviar solicitudes manipuladas al servidor que contienen objetos PHP maliciosos, lo que desencadena la ejecución del código no autorizado en el contexto del servidor web.

Mitigación recomendada

Actualizar el plugin WooCommerce Product Filters a la versión 2.0.6 o superior. Revisar los registros de acceso para identificar posibles intentos de explotación. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web (WAF).

Señales de detección

Señales a observar incluyen entradas inusuales en los registros de acceso, así como cambios inesperados en la configuración del plugin o en los archivos del sistema.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.0.6 del plugin WooCommerce Product Filters. No se han confirmado casos en versiones posteriores.

Vulnerabilidades relacionadas

CRITICAL WORDPRESS

wp-core

WordPress Core 6.9 - 7.0.1 - Remote Code Execution via REST API Batch Request Route Confusion

HIGH PLUGIN

wp-user-avatar

Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content <= 4.16.18 - Authenticated (Author+) Limited Unsafe File Upload via upload_mimes Filter Expansion

MEDIUM PLUGIN

erp

ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce <= 1.17.6 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Company Location Creation via wp_ajax_erp-company-location AJAX Handler

HIGH PLUGIN

loco-translate

Loco Translate <= 2.8.5 - Cross-Site Request Forgery to Remote Code Execution via 'template' Parameter

MEDIUM PLUGIN

woo-bulk-edit-products

Bulk Edit Products for WooCommerce – WP Sheet Editor <= 1.8.21 - Missing Authorization

MEDIUM PLUGIN

woocommerce-pdf-invoices-packing-slips

PDF Invoices & Packing Slips for WooCommerce <= 5.14.0 - Insecure Direct Object Reference to Authenticated (Contributor+) Sensitive Information Disclosure via 'order_id' Shortcode Attribute

MEDIUM PLUGIN

wc-frontend-manager

WCFM – Frontend Manager for WooCommerce <= 6.7.27 - Authenticated (Subscriber+) Missing Authorization to Arbitrary Vendor Data Manipulation via Multiple AJAX Handlers

HIGH PLUGIN

code-engine

Code Engine <= 0.3.5 - Authenticated (Contributor+) Remote Code Execution

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto