Fuente base de datos: Wordfence Intelligence

DHL eCommerce (Benelux) for WooCommerce <= 2.2.3 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Shipping Label Creation and Deletion via dhlpwc_label_create and dhlpwc_label_delete AJAX Actions - version 2.2.4

PLUGIN MEDIUM CVE-2026-9235

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin DHL eCommerce para WooCommerce, que permite a usuarios autenticados (nivel Subscriber+) crear y eliminar etiquetas de envío de forma arbitraria. Esta falla podría comprometer la integridad de las operaciones logísticas y la seguridad de los datos del negocio.

Contexto técnico

El fallo se encuentra en las acciones AJAX dhlpwc_label_create y dhlpwc_label_delete, donde la autorización adecuada no se aplica. Esto permite a usuarios con permisos mínimos realizar acciones críticas sin las validaciones necesarias, exponiendo el sistema a manipulaciones indebidas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la gestión no autorizada de etiquetas de envío, lo que podría resultar en pérdidas económicas y problemas logísticos. Además, podría afectar la confianza de los clientes en el manejo de sus envíos.

Vector de explotación

La explotación se realiza a través de peticiones AJAX maliciosas enviadas por usuarios autenticados, que aprovechan la falta de control de acceso en las funciones de creación y eliminación de etiquetas.

Mitigación recomendada

Actualizar el plugin DHL eCommerce para WooCommerce a la versión 2.2.4 o superior. Revisar los permisos de los usuarios y ajustar roles para limitar accesos innecesarios. Implementar medidas adicionales de seguridad, como la validación de entradas y la auditoría de acciones críticas.

Señales de detección

Revisar los logs de actividad para identificar peticiones inusuales a las acciones dhlpwc_label_create y dhlpwc_label_delete. Monitorizar cambios en las etiquetas de envío que no correspondan a las acciones de usuarios autorizados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin DHL eCommerce para WooCommerce hasta la 2.2.3. La versión 2.2.4 corrige esta vulnerabilidad. No se han confirmado otros escenarios de explotación.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

ecommerce-user-profiles-by-profilegrid

Memberships and User Profiles for WooCommerce <= 3.4 - Missing Authorization to Authenticated (Subscriber+) ProfileGrid Plugin Installation and Activation

MEDIUM PLUGIN

colissimo-shipping-methods-for-woocommerce

Colissimo Officiel : Méthodes de livraison pour WooCommerce <= 2.9.0 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Order Shipment Modification via lpc_order_affect AJAX action

MEDIUM PLUGIN

corvuspay-woocommerce-integration

CorvusPay WooCommerce Payment Gateway <= 2.7.4 - Unauthenticated Improper Verification of Cryptographic Signature to Payment Bypass via /wp-json/corvuspay/success/ REST Endpoint

MEDIUM PLUGIN

corvuspay-woocommerce-integration

CorvusPay WooCommerce Payment Gateway <= 2.7.4 - Missing Authorization to Unauthenticated Arbitrary Order Cancellation via 'order_number' Parameter

HIGH PLUGIN

widget-logic-visual

Widget Logic Visual <= 1.52 - Authenticated (Subscriber+) Remote Code Execution via 'nwlv[cod-tag]' Parameter

MEDIUM PLUGIN

bulk-order-update-for-woocommerce

Bulk Order Update for WooCommerce <= 1.6 - Unauthenticated Arbitrary File Read via 'csv_url' Parameter

HIGH PLUGIN

wc-multivendor-membership

WCFM - WooCommerce Multivendor Membership <= 2.11.10 - Insecure Direct Object Reference to Limited Privilege Escalation via User Role Overwrite

CRITICAL PLUGIN

wpfunnels

WPFunnels <= 3.12.7 - Unauthenticated Remote Code Execution via 'postData' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto