Fuente base de datos: Wordfence Intelligence

Post Duplicator < 3.0.15 - Authenticated (Contributor+) PHP Object Injection (vulnerabilidad)

PLUGIN HIGH CVE-2026-10749

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección de objetos PHP en el plugin Post Duplicator, que afecta a versiones anteriores a 3.0.15. Esta falla, con una severidad alta (CVSS 7.5), permite a usuarios autenticados con rol de contribuyente o superior ejecutar código malicioso, comprometiendo la seguridad del sitio.

Contexto técnico

La vulnerabilidad se presenta en el plugin Post Duplicator, donde un atacante autenticado puede manipular datos de entrada para inyectar objetos PHP. Esto se traduce en una exposición a ataques que pueden comprometer la integridad del sistema y los datos manejados por el plugin.

Impacto potencial

El impacto potencial de esta vulnerabilidad es considerable, ya que permite a usuarios malintencionados ejecutar código en el servidor, lo que podría derivar en la pérdida de datos, alteraciones no autorizadas y acceso a información sensible. Esto afecta no solo la seguridad del sitio, sino también su reputación y confianza por parte de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente requiere que el atacante tenga acceso como usuario autenticado con rol de contribuyente o superior, lo que limita el alcance a usuarios que ya tienen algún nivel de privilegio en el sistema.

Mitigación recomendada

Actualizar el plugin Post Duplicator a la versión 3.0.15 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y limitar el acceso a roles necesarios. Implementar medidas de seguridad adicionales, como la validación de datos de entrada.

Señales de detección

Señales que pueden indicar un intento de explotación incluyen registros de acceso inusuales de usuarios con privilegios, así como cambios inesperados en archivos del plugin o en la base de datos.

Alcance afectado

Las versiones afectadas son todas las anteriores a 3.0.15 del plugin Post Duplicator. No se han confirmado casos en versiones posteriores o en otros plugins.