Fuente base de datos: Wordfence Intelligence

Simple File List <= 6.3.7 - Missing Authorization to Authenticated (Contributor+) Arbitrary File Operations (Deletion / Move / Folder Creation / Download) via 'frontmanage' Shortcode Attribute (falta de autorizacion) - version 6.3.8

PLUGIN MEDIUM CVE-2026-12119

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Simple File List hasta la versión 6.3.7 que permite a usuarios autenticados realizar operaciones arbitrarias en archivos. Esta falla puede comprometer la integridad del sistema y permitir acciones no autorizadas como eliminación o descarga de archivos.

Contexto técnico

El fallo se origina en la falta de autorización adecuada para usuarios con rol de 'Contribuyente' y superiores, permitiendo el uso del shortcode 'frontmanage' para ejecutar operaciones críticas sin la debida validación de permisos.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la eliminación, movimiento o creación de carpetas de archivos, afectando la disponibilidad y la integridad de los datos. Esto puede tener repercusiones significativas en la operativa del negocio y la confianza de los usuarios.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes manipuladas que utilizan el shortcode vulnerable, lo que les permite ejecutar acciones no autorizadas en el sistema.

Mitigación recomendada

Actualizar el plugin Simple File List a la versión 6.3.8 o superior para cerrar la vulnerabilidad. Revisar los permisos de usuario y roles asociados para limitar el acceso a funciones críticas. Realizar auditorías periódicas de seguridad para detectar configuraciones inadecuadas.

Señales de detección

Monitorear los registros de acceso y errores en busca de patrones inusuales relacionados con operaciones de archivos, así como configuraciones del shortcode 'frontmanage' que no deberían estar presentes.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 6.3.8 del plugin Simple File List. No se han confirmado otros escenarios de explotación fuera de este contexto.

Vulnerabilidades relacionadas

HIGH PLUGIN

simple-file-list