Fuente base de datos: Wordfence Intelligence

Cost Calculator Builder PRO <= 4.0.3 - Unauthenticated Remote Code Execution via 'orderDetails' Parameter (ejecucion remota de codigo (RCE)) - version 4.0.4

PLUGIN CRITICAL CVE-2026-14900

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Cost Calculator Builder PRO que permite la ejecución remota de código sin autenticación a través del parámetro 'orderDetails'. Este fallo, con un CVSS de 9.8, puede comprometer gravemente la seguridad operativa del sitio web.

Contexto técnico

El fallo se origina en el plugin Cost Calculator Builder PRO en versiones hasta la 4.0.3, donde el parámetro 'orderDetails' puede ser manipulado por un atacante no autenticado. Esto permite la ejecución de código arbitrario en el servidor, exponiendo la superficie de ataque a cualquier usuario malintencionado.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la toma de control total del sitio web, permitiendo al atacante realizar acciones maliciosas que van desde la instalación de malware hasta el robo de datos sensibles. Esto puede afectar la reputación de la empresa y la confianza de los usuarios.

Vector de explotación

Los atacantes suelen enviar solicitudes manipuladas al servidor, aprovechando la falta de validación del parámetro 'orderDetails' para ejecutar código malicioso.

Mitigación recomendada

Actualizar el plugin Cost Calculator Builder PRO a la versión 4.0.4 o superior para cerrar la vulnerabilidad. Revisar los registros de acceso para detectar cualquier actividad sospechosa relacionada con el uso del parámetro 'orderDetails'. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF), para proteger el sitio de futuros ataques.

Señales de detección

Señales de alerta incluyen solicitudes inusuales en los registros que intenten acceder o manipular el parámetro 'orderDetails', así como cambios inesperados en los archivos del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.0.4 del plugin Cost Calculator Builder PRO. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

excel-like-price-change-for-woocommerce-and-wp-e-commerce-light

Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light <= 2.4.37 - Missing Authorization to Unauthenticated Privilege Escalation via Admin Account Creation

HIGH PLUGIN

woocommerce-tm-extra-checkout-options-addon

Extra Checkout Options (addon for Extra Product Options & Add-Ons for WooCommerce) <= 2.3.2 - Missing Authorization to Authenticated (Subscriber+) Arbitrary File Upload in eco_save_settings

MEDIUM PLUGIN

mage-eventpress

Event Booking Manager for WooCommerce <= 5.3.7 - Missing Authorization to Authenticated (Contributor+) Site-Wide Payment Settings Modification via mep_save_payment_settings_modal AJAX Action

HIGH PLUGIN

woo-wholesale-pricing

Wholesale for WooCommerce <= 2.0.5 - Authenticated (Author+) Privilege Escalation via 'user_role_set' Parameter

MEDIUM PLUGIN

storegrowth-sales-booster

StoreGrowth: Smart Sales Booster for WooCommerce | BOGO, Upsells, Direct Checkout, Quick View, Side Cart <= 2.1.0 - Missing Authorization to Unauthenticated Options Update via create_popup AJAX Action

MEDIUM PLUGIN

storegrowth-sales-booster

StoreGrowth: Smart Sales Booster for WooCommerce | BOGO, Upsells, Direct Checkout, Quick View, Side Cart <= 2.1.0 - Missing Authorization to Unauthenticated Arbitrary Plugin Settings Modification via bogo_category_msg_create AJAX Action

MEDIUM PLUGIN

woocommerce-checkout-field-editor-pro

Checkout Field Editor for WooCommerce (Pro) <= 3.7.7 - Authenticated (Subscriber+) Path Traversal to Arbitrary File Read via 'thwcfe_legacy_file' Parameter

MEDIUM PLUGIN

cart-rest-api-for-woocommerce

CoCart – Headless REST API for WooCommerce <= 4.8.4 - Missing Authorization

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto