Fuente base de datos: Wordfence Intelligence

YayMail – WooCommerce Email Customizer <= 4.3.3 - Authenticated (Shop manager+) PHP Object Injection - version 4.3.4

PLUGIN MEDIUM CVE-2026-39498

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

La extensión YayMail para WooCommerce presenta una vulnerabilidad de inyección de objetos PHP en versiones hasta la 4.3.3, permitiendo a usuarios autenticados con privilegios de gestor de tienda ejecutar código malicioso. Esto puede comprometer la seguridad del sitio y la integridad de los datos.

Contexto técnico

El fallo se origina en el plugin YayMail, que permite la personalización de correos electrónicos en WooCommerce. La superficie de ataque se encuentra en la funcionalidad que gestiona objetos PHP, expuesta a usuarios con rol de gestor de tienda y superiores.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante ejecutar código arbitrario en el servidor, lo que podría resultar en la pérdida de datos, alteración del sitio o acceso no autorizado a información sensible. La severidad se clasifica como media, con un CVSS de 6.6.

Vector de explotación

Normalmente, la explotación se realiza mediante la manipulación de solicitudes HTTP que envían datos maliciosos a través de la funcionalidad del plugin, aprovechando la falta de validación adecuada de los objetos PHP.

Mitigación recomendada

Actualizar el plugin YayMail a la versión 4.3.4 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y limitar el acceso a funciones críticas del plugin a roles necesarios. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web (WAF), para mitigar ataques. Realizar auditorías de seguridad periódicas en el sitio para detectar posibles vulnerabilidades.

Señales de detección

Monitorizar los registros de acceso en busca de solicitudes inusuales que intenten manipular objetos PHP, así como cambios inesperados en la configuración del plugin o en los permisos de usuario.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.3.4 del plugin YayMail. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

HIGH PLUGIN

widget-options

Widget Options <= 4.2.2 - Authenticated (Contributor+) Remote Code Execution via Display Logic

HIGH PLUGIN

extended-widget-options

Widget Options <= 4.2.2 - Authenticated (Contributor+) Remote Code Execution via Display Logic

MEDIUM PLUGIN

dokan-lite

Dokan: AI Powered WooCommerce Multivendor Marketplace Solution <= 4.3.1 - Unauthenticated Information Disclosure in Store Reviews REST API Endpoint

HIGH PLUGIN

wc-frontend-manager

WCFM – Frontend Manager for WooCommerce along with Bookings Subscription Listings Compatible <= 6.7.25 - Authenticated (Vendor+) Insecure Direct Object Reference to Arbitrary User Deletion

HIGH PLUGIN

wp-editor

WP Editor <= 1.2.9.2 - Cross-Site Request Forgery to Remote Code Execution via Plugin and Theme File Editor

MEDIUM PLUGIN

wp-sms

WSMS (formerly WP SMS) – SMS & MMS Notifications with OTP and 2FA for WooCommerce <= 7.2.1 - Authenticated (Subscriber+) Information Exposure

MEDIUM PLUGIN

blocksy-companion-pro

Blocksy Companion Pro <= 2.1.37 - Authenticated (Contributor+) Remote Code Execution

MEDIUM PLUGIN

wp-marketing-automations

FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce <= 3.7.3 - Missing Authorization

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto