Fuente base de datos: Wordfence Intelligence

NOWPayments for WooCommerce – Crypto Payment Gateway <= 1.4.0 - Missing Authorization

PLUGIN MEDIUM CVE-2026-39448

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin NOWPayments para WooCommerce, que permite la ejecución remota de código. Esta falla, catalogada con una severidad media (CVE-2026-39448), puede comprometer la seguridad operativa de las tiendas online que utilizan este componente.

Contexto técnico

El fallo se origina en la falta de autorización adecuada en el plugin NOWPayments para WooCommerce, lo que permite a un atacante ejecutar código de forma remota en versiones hasta la 1.4.0. La superficie de ataque se centra en la interacción con el sistema de pagos, donde un usuario no autenticado podría aprovechar esta vulnerabilidad.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de código malicioso, lo que podría resultar en el robo de datos sensibles o la manipulación de transacciones. Esto representa un riesgo significativo para la reputación y la integridad financiera de las tiendas online afectadas.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas al plugin sin necesidad de autenticación previa, lo que facilita la ejecución de código no autorizado.

Mitigación recomendada

Actualizar el plugin NOWPayments para WooCommerce a la versión 1.4.0 o superior. Revisar y reforzar las configuraciones de seguridad del servidor y de WordPress. Monitorear los registros de acceso para detectar actividades inusuales relacionadas con el plugin.

Señales de detección

Señales que pueden indicar un intento de explotación incluyen registros de acceso que muestran solicitudes no autorizadas al plugin y cambios inesperados en los archivos del plugin.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin NOWPayments para WooCommerce anteriores a la 1.4.0. No se han confirmado otros casos fuera de este rango.

Vulnerabilidades relacionadas

HIGH PLUGIN

widget-logic-visual

Widget Logic Visual <= 1.52 - Authenticated (Subscriber+) Remote Code Execution via 'nwlv[cod-tag]' Parameter

MEDIUM PLUGIN

bulk-order-update-for-woocommerce

Bulk Order Update for WooCommerce <= 1.6 - Unauthenticated Arbitrary File Read via 'csv_url' Parameter

HIGH PLUGIN

wc-multivendor-membership

WCFM - WooCommerce Multivendor Membership <= 2.11.10 - Insecure Direct Object Reference to Limited Privilege Escalation via User Role Overwrite

CRITICAL PLUGIN

wpfunnels

WPFunnels <= 3.12.7 - Unauthenticated Remote Code Execution via 'postData' Parameter

MEDIUM PLUGIN

permalink-manager-for-woocommerce

Permalink Manager for WooCommerce <= 1.0.8.2 - Cross-Site Request Forgery

HIGH PLUGIN

ar-for-woocommerce

AR for WooCommerce <= 8.40 - Unauthenticated Path Traversal to Arbitrary File Read via 'file' Parameter

CRITICAL PLUGIN

printcart-integration

Printcart Web to Print Product Designer for WooCommerce <= 2.5.2 - Unauthenticated Arbitrary File Deletion

MEDIUM PLUGIN

envo-elementor-for-woocommerce

Envo's Templates & Widgets for Elementor and WooCommerce <= 1.4.26 - Missing Authorization to Authenticated (Author+) Private Content Disclosure via Envo Tabs Widget 'templates' Setting

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto