Fuente base de datos: Wordfence Intelligence

utm.codes <= 1.9.0 - Authenticated (Subscriber+) Server-Side Request Forgery en UTM DOT Codes (Server-Side Request Forgery (SSRF)) - version 1.9.1

PLUGIN MEDIUM CVE-2026-56026

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha detectado una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el plugin UTM.codes hasta la versión 1.9.0. Esta falla podría permitir a un atacante autenticado realizar solicitudes no autorizadas, comprometiendo la seguridad de la aplicación y los datos del usuario.

Contexto técnico

La vulnerabilidad se encuentra en el plugin UTM.codes, que permite a los usuarios autenticados realizar solicitudes a servidores internos. Esto puede ser explotado si un atacante autenticado envía peticiones manipuladas, lo que puede llevar a la exposición de información sensible o a ataques adicionales.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante autenticado acceder a servicios internos y datos que normalmente estarían protegidos. Esto puede resultar en la filtración de información sensible y comprometer la integridad de la instalación de WordPress.

Vector de explotación

La explotación de esta vulnerabilidad típicamente involucra a un usuario autenticado que envía una solicitud manipulada al servidor, aprovechando la falta de validación en las peticiones del plugin.

Mitigación recomendada

Actualizar el plugin UTM.codes a la versión 1.9.1 o superior para corregir la vulnerabilidad. Revisar los registros de actividad para detectar accesos no autorizados o inusuales. Implementar controles de acceso más estrictos para limitar las capacidades de los usuarios autenticados.

Señales de detección

Se deben monitorizar los logs de acceso en busca de patrones inusuales, como solicitudes a endpoints internos que no deberían ser accesibles para usuarios autenticados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin UTM.codes anteriores a la 1.9.1. No se han confirmado otros escenarios de afectación.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

wp-import-export-lite

WP Import Export Lite <= 3.9.30 - Authenticated (Administrator+) Server-Side Request Forgery via 'file_url' Parameter

MEDIUM PLUGIN

kirki

Kirki – Freeform Page Builder, Website Builder & Customizer <= 6.0.11 - Authenticated (Subscriber+) Server-Side Request Forgery

HIGH PLUGIN

kargo-takip

Kargo Takip <= 1.2 - Unauthenticated Server-Side Request Forgery via 'api_url' Parameter

HIGH PLUGIN

link-preview

URL Preview <= 1.0 - Unauthenticated Server-Side Request Forgery via 'url' Parameter

MEDIUM PLUGIN

wp-meta-seo

WP Meta SEO <= 4.5.18 - Authenticated (Contributor+) Server-Side Request Forgery via 'new_link' Parameter

MEDIUM PLUGIN

advanced-import

Advanced Import: One-Click Demo Import for WordPress <= 1.4.6 - Authenticated (Author+) Server-Side Request Forgery via 'demo_file' Parameter

MEDIUM PLUGIN

bit-integrations

Bit integrations <= 2.8.7 - Unauthenticated Server-Side Request Forgery via Form Field Upload Mapping

HIGH PLUGIN

cf7-to-zapier

CF7 to Webhook <= 5.0.0 - Unauthenticated Server-Side Request Forgery via CF7 Field Placeholder in Webhook URL Host

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto