Fuente base de datos: Wordfence Intelligence

WP Captcha PRO <= 5.38 - Missing Authorization to Authenticated (Subscriber+) Arbitrary File Upload en Advanced Google Recaptcha (subida arbitraria de archivos) - version 5.39

PLUGIN HIGH CVE-2026-5411

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en WP Captcha PRO, que permite a usuarios autenticados (nivel Subscriber+) cargar archivos de forma arbitraria. Esta falla de autorización puede comprometer la seguridad operativa del sitio web.

Contexto técnico

El fallo se origina en la falta de control de autorización en el plugin WP Captcha PRO, versión 5.38 y anteriores. Esto permite que cualquier usuario autenticado con rol de Subscriber o superior pueda cargar archivos sin restricciones, exponiendo el servidor a potenciales ataques.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante cargar archivos maliciosos, lo que podría resultar en la ejecución de código no autorizado, comprometiendo la integridad y disponibilidad del sitio web. Esto puede tener repercusiones significativas en la reputación del negocio y en la confianza de los usuarios.

Vector de explotación

La explotación se realiza mediante la autenticación del usuario y el uso de formularios de carga de archivos disponibles en el plugin, sin las verificaciones adecuadas de permisos.

Mitigación recomendada

Actualizar WP Captcha PRO a la versión 5.39 o superior para cerrar la vulnerabilidad. Revisar los permisos de usuario y restringir la carga de archivos a roles necesarios. Implementar medidas de seguridad adicionales, como la validación de archivos y la monitorización de actividades sospechosas.

Señales de detección

Revisar los registros de acceso para detectar intentos inusuales de carga de archivos por parte de usuarios autenticados. Buscar cambios inesperados en el sistema de archivos del servidor.

Alcance afectado

Las versiones afectadas son WP Captcha PRO hasta la 5.38. La versión 5.39 y posteriores ya no presentan esta vulnerabilidad. No se han confirmado otros escenarios de explotación fuera del contexto mencionado.

Vulnerabilidades relacionadas

HIGH PLUGIN

mapsvg-lite-interactive-vector-maps

MapSVG <= 8.14.0 - Authenticated (Administrator+) Arbitrary File Upload via '/mapsvg/v1/svgfile' Endpoint

HIGH PLUGIN

swiss-toolkit-for-wp

Swiss Toolkit For WP <= 1.4.6 - Authenticated (Author+) Arbitrary File Upload via upload_extension_files()

HIGH PLUGIN

woowbot-pro-max

WoowBot Pro Max <= 14.1.7 - Authenticated (Subscriber+) Arbitrary File Upload

HIGH PLUGIN

post-export-import-with-media

Post Export Import with Media <= 1.13.1 - Authenticated (Administrator+) Arbitrary File Upload via Trailing-Dot Filename Bypass in ZIP Media Import

HIGH THEME

zegen

Zegen - Church WordPress Theme <= 1.1.9 - Authenticated (Subscriber+) Arbitrary File Upload

HIGH PLUGIN

templatespare

TemplateSpare – 1000+ WordPress Starter Templates & Full Site Migration Tool | 1-Click Import/Export & No-Code Builder <= 4.2.0 - Authenticated (Admin+) Arbitrary File Upload

MEDIUM THEME

travel-booking

Travel Booking <= 2.2.5 - Authenticated (Subscriber+) Arbitrary File Upload

HIGH PLUGIN

quform

Quform - WordPress Form Builder <= 2.23.0 - Authenticated (Subscriber+) Arbitrary File Upload

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto