Fuente base de datos: Wordfence Intelligence

Motors – Car Dealer, Classifieds & Listing <= 1.4.107 - Authenticated (Subscriber+) Arbitrary File Deletion via 'stm_dealer_logo_path' Parameter en Motors CAR Dealership Classified Listings (vulnerabilidad) - version 1.4.108

PLUGIN HIGH CVE-2026-3892

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Motors para WordPress, que permite la eliminación arbitraria de archivos a través del parámetro 'stm_dealer_logo_path'. Esta falla puede comprometer la integridad de los archivos del servidor, afectando gravemente la operación del sitio.

Contexto técnico

El fallo se presenta en las versiones del plugin Motors hasta la 1.4.107, donde un usuario autenticado con rol de suscriptor o superior puede manipular el parámetro 'stm_dealer_logo_path' para eliminar archivos del servidor. Esto expone una superficie de ataque que puede ser aprovechada por usuarios malintencionados con acceso legítimo.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la pérdida de datos críticos y a la interrupción de servicios. Además, puede resultar en la exposición de información sensible y en la degradación de la confianza de los usuarios, afectando la reputación del negocio.

Vector de explotación

La explotación se realiza mediante el envío de solicitudes manipuladas que incluyen el parámetro vulnerable, permitiendo la eliminación de archivos sin la debida autorización.

Mitigación recomendada

Actualizar el plugin Motors a la versión 1.4.108 o superior para corregir la vulnerabilidad. Revisar los registros de acceso para identificar actividades sospechosas relacionadas con el uso del parámetro 'stm_dealer_logo_path'. Implementar controles de acceso más estrictos para los usuarios autenticados, limitando los permisos innecesarios.

Señales de detección

Buscar entradas en los registros que indiquen intentos de eliminación de archivos o accesos inusuales a la funcionalidad del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.4.108 del plugin Motors. No se han confirmado casos de explotación en versiones posteriores.