Fuente base de datos: Wordfence Intelligence

Profile Builder Pro <= 3.14.5 - Unauthenticated PHP Object Injection (vulnerabilidad) - version 3.14.6

PLUGIN HIGH CVE-2026-7647

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Profile Builder Pro, que permite la inyección de objetos PHP sin autenticación. Esta falla, clasificada como de alta severidad, puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se presenta en versiones del plugin Profile Builder Pro hasta la 3.14.5, permitiendo a un atacante no autenticado ejecutar código PHP malicioso a través de la inyección de objetos. Esto se debe a una falta de validación en la entrada de datos, lo que abre una superficie de ataque significativa.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante obtenga acceso no autorizado a datos sensibles, comprometiendo así la integridad y la disponibilidad del sistema. Esto puede resultar en daños a la reputación de la empresa y pérdida de confianza por parte de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza enviando solicitudes manipuladas al servidor que ejecutan código PHP no autorizado, aprovechando la falta de autenticación.

Mitigación recomendada

Actualizar el plugin Profile Builder Pro a la versión 3.14.6 o superior para corregir la vulnerabilidad. Revisar y restringir el acceso a las configuraciones del plugin para minimizar la exposición. Implementar medidas de seguridad adicionales, como firewalls y sistemas de detección de intrusiones.

Señales de detección

Señales que pueden indicar un intento de explotación incluyen registros de acceso inusuales a scripts PHP del plugin y entradas de datos no válidas en los logs del servidor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.14.6 del plugin Profile Builder Pro. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

formgent

FormGent <= 1.9.2- Missing Authorization to Unauthenticated Arbitrary File Deletion via 'file_token' Parameter

MEDIUM PLUGIN

gutena-forms

Gutena Forms – Contact Form, Survey Form, Feedback Form, Booking Form, and Custom Form Builder <= 1.9.0 - Missing Authorization to Unauthenticated Arbitrary Form Entry Modification/Trash via process_bulk_action()

MEDIUM PLUGIN

pixelyoursite

PixelYourSite <= 11.2.1 - Unauthenticated Sensitive Information Exposure via Order-Received Endpoint Missing Key Validation

MEDIUM PLUGIN

pixelyoursite-pro

PixelYourSite <= 11.2.1 - Unauthenticated Sensitive Information Exposure via Order-Received Endpoint Missing Key Validation

HIGH PLUGIN

bit-integrations

Bit integrations <= 2.9.0 - Unauthenticated Arbitrary File Read via Optional CF7 File Field

CRITICAL PLUGIN

real-estate-listing-realtyna-wpl

Realtyna Organic IDX plugin + WPL Real Estate <= 5.2.0 - Unauthenticated Arbitrary File Upload via 'files[file]' Parameter via Public I/O 'set_property' Command

MEDIUM PLUGIN

mailerpress

MailerPress <= 1.5.0 - Missing Authorization to Unauthenticated Arbitrary Modification via REST API Endpoint

MEDIUM PLUGIN

mailerpress

MailPress <= 1.5.0 - Missing Authorization to Unauthenticated Contact Updates

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto