Fuente base de datos: Wordfence Intelligence

Bulk Order Update for WooCommerce <= 1.6 - Unauthenticated Arbitrary File Read via 'csv_url' Parameter

PLUGIN MEDIUM CVE-2026-14500

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Bulk Order Update para WooCommerce que permite la lectura no autenticada de archivos a través del parámetro 'csv_url'. Este fallo, con una severidad media (CVSS 5.3), puede comprometer la seguridad de los datos operativos del sitio.

Contexto técnico

La vulnerabilidad se origina en el plugin Bulk Order Update para WooCommerce en versiones hasta 1.6, donde un atacante puede manipular el parámetro 'csv_url' para acceder a archivos en el servidor sin necesidad de autenticación.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante acceder a información sensible almacenada en archivos del servidor, lo que podría resultar en la exposición de datos críticos y afectar la confianza de los clientes y la reputación del negocio.

Vector de explotación

El atacante puede enviar solicitudes manipuladas al plugin, utilizando el parámetro 'csv_url' para obtener acceso a archivos no autorizados en el sistema.

Mitigación recomendada

Actualizar el plugin Bulk Order Update para WooCommerce a la versión 1.6 o superior. Revisar y restringir los permisos de acceso a archivos sensibles en el servidor. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web.

Señales de detección

Monitorear los logs de acceso para detectar patrones de solicitudes inusuales que intenten acceder a archivos mediante el parámetro 'csv_url'.

Alcance afectado

El fallo afecta a todas las versiones del plugin Bulk Order Update para WooCommerce hasta la 1.6. No se han reportado casos confirmados en versiones posteriores.

Vulnerabilidades relacionadas

HIGH PLUGIN

widget-logic-visual

Widget Logic Visual <= 1.52 - Authenticated (Subscriber+) Remote Code Execution via 'nwlv[cod-tag]' Parameter

HIGH PLUGIN

wc-multivendor-membership

WCFM - WooCommerce Multivendor Membership <= 2.11.10 - Insecure Direct Object Reference to Limited Privilege Escalation via User Role Overwrite

CRITICAL PLUGIN

wpfunnels

WPFunnels <= 3.12.7 - Unauthenticated Remote Code Execution via 'postData' Parameter

MEDIUM PLUGIN

permalink-manager-for-woocommerce

Permalink Manager for WooCommerce <= 1.0.8.2 - Cross-Site Request Forgery

HIGH PLUGIN

ar-for-woocommerce

AR for WooCommerce <= 8.40 - Unauthenticated Path Traversal to Arbitrary File Read via 'file' Parameter

CRITICAL PLUGIN

printcart-integration

Printcart Web to Print Product Designer for WooCommerce <= 2.5.2 - Unauthenticated Arbitrary File Deletion

MEDIUM PLUGIN

envo-elementor-for-woocommerce

Envo's Templates & Widgets for Elementor and WooCommerce <= 1.4.26 - Missing Authorization to Authenticated (Author+) Private Content Disclosure via Envo Tabs Widget 'templates' Setting

HIGH PLUGIN

request-a-quote

Request a Quote Form Plugin <= 2.5.5 - Unauthenticated Code Injection via 'path' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto