Fuente base de datos: Wordfence Intelligence

JetEngine <= 3.8.10 - Unauthenticated PHP Object Injection en JET Engine (vulnerabilidad) - version 3.8.10.1

PLUGIN HIGH CVE-2026-52706

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección de objetos PHP en JetEngine, afectando a versiones hasta la 3.8.10. Este fallo, clasificado como de alta severidad, permite la ejecución de código no autenticado, lo que puede comprometer la seguridad operativa del sitio.

Contexto técnico

La vulnerabilidad se presenta en el plugin JetEngine, permitiendo la inyección de objetos PHP sin necesidad de autenticación. Esto expone el sistema a ataques que pueden ejecutar código malicioso en el servidor.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, permitiendo a un atacante ejecutar código arbitrario, lo que podría resultar en la pérdida de datos, alteración del contenido del sitio o incluso el control total del servidor. Esto pone en riesgo la integridad y disponibilidad del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes específicas que desencadenan la inyección de objetos PHP, lo que permite la ejecución de código no autorizado.

Mitigación recomendada

Actualizar JetEngine a la versión 3.8.10.1 o superior para corregir la vulnerabilidad. Revisar y reforzar las configuraciones de seguridad del servidor para prevenir accesos no autorizados. Implementar un sistema de monitoreo para detectar actividades sospechosas en el sitio.

Señales de detección

Señales que pueden indicar explotación incluyen registros de errores inusuales, intentos de acceso no autenticados y cambios inesperados en archivos del sistema.

Alcance afectado

Las versiones afectadas son todas las versiones de JetEngine hasta la 3.8.10. No se han confirmado casos en versiones posteriores a la 3.8.10.1.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

formgent

FormGent <= 1.9.2- Missing Authorization to Unauthenticated Arbitrary File Deletion via 'file_token' Parameter

MEDIUM PLUGIN

gutena-forms

Gutena Forms – Contact Form, Survey Form, Feedback Form, Booking Form, and Custom Form Builder <= 1.9.0 - Missing Authorization to Unauthenticated Arbitrary Form Entry Modification/Trash via process_bulk_action()

MEDIUM PLUGIN

pixelyoursite

PixelYourSite <= 11.2.1 - Unauthenticated Sensitive Information Exposure via Order-Received Endpoint Missing Key Validation

MEDIUM PLUGIN

pixelyoursite-pro

PixelYourSite <= 11.2.1 - Unauthenticated Sensitive Information Exposure via Order-Received Endpoint Missing Key Validation

HIGH PLUGIN

bit-integrations

Bit integrations <= 2.9.0 - Unauthenticated Arbitrary File Read via Optional CF7 File Field

CRITICAL PLUGIN

real-estate-listing-realtyna-wpl

Realtyna Organic IDX plugin + WPL Real Estate <= 5.2.0 - Unauthenticated Arbitrary File Upload via 'files[file]' Parameter via Public I/O 'set_property' Command

MEDIUM PLUGIN

mailerpress

MailerPress <= 1.5.0 - Missing Authorization to Unauthenticated Arbitrary Modification via REST API Endpoint

MEDIUM PLUGIN

mailerpress

MailPress <= 1.5.0 - Missing Authorization to Unauthenticated Contact Updates

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto