Fuente base de datos: Wordfence Intelligence

Multiple Plugins <= Multiple Versions - Authenticated Remote Code Execution en Unknown CVE 2023 4861 1 (ejecucion remota de codigo (RCE)) - version 2.1.1

PLUGIN HIGH CVE-2026-6382

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de ejecución remota de código (RCE) en múltiples versiones de plugins. Esta falla permite a un atacante autenticado ejecutar código malicioso, lo que puede comprometer gravemente la seguridad del sitio web.

Contexto técnico

El fallo se presenta en varios plugins que permiten a usuarios autenticados ejecutar código de forma remota. La superficie de ataque se amplía a través de configuraciones incorrectas y falta de validación en las entradas del usuario.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la toma de control del sitio, acceso a datos sensibles y potenciales daños a la reputación de la organización. La severidad se clasifica como alta, con un CVSS de 7.2.

Vector de explotación

Los atacantes suelen aprovechar la falta de validación de las entradas de usuario en las funcionalidades de los plugins para ejecutar código malicioso tras autenticarse.

Mitigación recomendada

Actualizar todos los plugins afectados a la versión 2.1.1 o superior. Revisar y reforzar las configuraciones de seguridad de los plugins instalados. Implementar medidas de monitoreo para detectar accesos no autorizados.

Señales de detección

Revisar logs de acceso en busca de patrones inusuales de autenticación y ejecución de scripts no autorizados.

Alcance afectado

La vulnerabilidad afecta a múltiples versiones de varios plugins, siendo necesario identificar cuáles están instalados en cada instalación específica para evaluar el riesgo.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

admin-site-enhancements-pro

Admin and Site Enhancements (ASE) Pro <= 8.9.0 - Unauthenticated Remote Code Execution via PHP Code Injection via cfgroup[input] Repeater Row Key

HIGH PLUGIN

subscriptions-for-woocommerce

Subscriptions for WooCommerce <= 2.0.0 - Missing Authorization to Authenticated (Shop Manager+) Arbitrary Plugin Installation via wps_sfw_install_plugin_configuration AJAX Action

CRITICAL PLUGIN

excel-like-price-change-for-woocommerce-and-wp-e-commerce-light

Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light <= 2.4.37 - Missing Authorization to Unauthenticated Privilege Escalation via Admin Account Creation

CRITICAL PLUGIN

cost-calculator-builder-pro

Cost Calculator Builder PRO <= 4.0.3 - Unauthenticated Remote Code Execution via 'orderDetails' Parameter

HIGH PLUGIN

woocommerce-tm-extra-checkout-options-addon

Extra Checkout Options (addon for Extra Product Options & Add-Ons for WooCommerce) <= 2.3.2 - Missing Authorization to Authenticated (Subscriber+) Arbitrary File Upload in eco_save_settings

MEDIUM PLUGIN

mage-eventpress

Event Booking Manager for WooCommerce <= 5.3.7 - Missing Authorization to Authenticated (Contributor+) Site-Wide Payment Settings Modification via mep_save_payment_settings_modal AJAX Action

HIGH PLUGIN

woo-wholesale-pricing

Wholesale for WooCommerce <= 2.0.5 - Authenticated (Author+) Privilege Escalation via 'user_role_set' Parameter

MEDIUM PLUGIN

yookassa

ЮKassa для WooCommerce <= 2.16.1 - Authenticated (Subscriber+) Information Exposure

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto