Fuente base de datos: Wordfence Intelligence

Multiple Plugins <= Multiple Versions - Authenticated Remote Code Execution en Advanced File Manager (ejecucion remota de codigo (RCE)) - version 5.4.12

PLUGIN HIGH CVE-2026-6382

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de ejecución remota de código (RCE) en el plugin Advanced File Manager, afectando a múltiples versiones. Esta falla puede ser explotada por usuarios autenticados, lo que podría comprometer la seguridad operativa del sitio web.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las entradas en el plugin Advanced File Manager. Esto permite a un atacante autenticado ejecutar código malicioso en el servidor, utilizando el plugin como vector de ataque.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución de código arbitrario, comprometiendo la integridad y disponibilidad del sitio. Esto puede llevar a la pérdida de datos sensibles y afectar la confianza de los usuarios en la plataforma.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes maliciosas a través de formularios del plugin, tras haber obtenido acceso como usuarios autenticados.

Mitigación recomendada

Actualizar el plugin Advanced File Manager a la versión 5.4.12 o superior. Revisar los permisos de usuario para limitar el acceso a funcionalidades críticas del plugin. Implementar medidas de seguridad adicionales, como firewalls y monitoreo de actividad sospechosa.

Señales de detección

Señales en los logs que indican intentos de ejecución de código, así como cambios no autorizados en archivos del sistema o en la configuración del plugin.

Alcance afectado

Las versiones del plugin Advanced File Manager anteriores a la 5.4.12 están afectadas. No se han confirmado otros escenarios de explotación en plugins o temas relacionados.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

admin-site-enhancements-pro

Admin and Site Enhancements (ASE) Pro <= 8.9.0 - Unauthenticated Remote Code Execution via PHP Code Injection via cfgroup[input] Repeater Row Key

HIGH PLUGIN

subscriptions-for-woocommerce

Subscriptions for WooCommerce <= 2.0.0 - Missing Authorization to Authenticated (Shop Manager+) Arbitrary Plugin Installation via wps_sfw_install_plugin_configuration AJAX Action

CRITICAL PLUGIN

excel-like-price-change-for-woocommerce-and-wp-e-commerce-light

Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light <= 2.4.37 - Missing Authorization to Unauthenticated Privilege Escalation via Admin Account Creation

CRITICAL PLUGIN

cost-calculator-builder-pro

Cost Calculator Builder PRO <= 4.0.3 - Unauthenticated Remote Code Execution via 'orderDetails' Parameter

HIGH PLUGIN

woocommerce-tm-extra-checkout-options-addon

Extra Checkout Options (addon for Extra Product Options & Add-Ons for WooCommerce) <= 2.3.2 - Missing Authorization to Authenticated (Subscriber+) Arbitrary File Upload in eco_save_settings

MEDIUM PLUGIN

mage-eventpress

Event Booking Manager for WooCommerce <= 5.3.7 - Missing Authorization to Authenticated (Contributor+) Site-Wide Payment Settings Modification via mep_save_payment_settings_modal AJAX Action

HIGH PLUGIN

woo-wholesale-pricing

Wholesale for WooCommerce <= 2.0.5 - Authenticated (Author+) Privilege Escalation via 'user_role_set' Parameter

MEDIUM PLUGIN

yookassa

ЮKassa для WooCommerce <= 2.16.1 - Authenticated (Subscriber+) Information Exposure

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto