Fuente base de datos: Wordfence Intelligence

Nexter Blocks <= 5.0.0 - Authenticated (Subscriber+) Path Traversal to Arbitrary CSS/JS File Deletion via 'plus_name' Parameter en THE Plus Addons FOR Block Editor (inclusion local de archivos (LFI)) - version 5.0.1

PLUGIN MEDIUM CVE-2026-15420

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Nexter Blocks (versiones <= 5.0.0) que permite la eliminación arbitraria de archivos CSS y JS a través de un fallo de tipo Local File Inclusion (LFI). Esta brecha de seguridad puede ser explotada por usuarios autenticados con rol de suscriptor o superior, lo que podría comprometer la integridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en el manejo inadecuado del parámetro 'plus_name', permitiendo a un atacante autenticado acceder a archivos del sistema y eliminarlos. Esto se puede realizar mediante solicitudes manipuladas que aprovechan la falta de validación de la ruta de archivo, afectando así la seguridad del servidor.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante eliminar archivos críticos del sitio, lo que podría resultar en la interrupción del servicio y la pérdida de datos. Además, la explotación de esta falla puede llevar a una mayor exposición a ataques adicionales.

Vector de explotación

La explotación se lleva a cabo mediante la manipulación del parámetro 'plus_name' en solicitudes HTTP, permitiendo a usuarios autenticados borrar archivos de forma remota.

Mitigación recomendada

Actualizar el plugin Nexter Blocks a la versión 5.0.1 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y asegurar que solo los roles necesarios tengan acceso a funciones administrativas. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web, para mitigar el riesgo de explotación.

Señales de detección

Señales que pueden indicar explotación incluyen registros de eliminación de archivos inusuales o accesos no autorizados a archivos del sistema desde cuentas de usuario con bajo privilegio.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Nexter Blocks hasta la 5.0.0. La versión 5.0.1 y posteriores no están afectadas por esta vulnerabilidad.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

woocommerce-pos

WCPOS <= 1.9.8 - Authenticated (Shop Manager+) Path Traversal to Arbitrary File Read via 'type' Parameter

MEDIUM PLUGIN

ninja-forms-excel-export

Ninja Forms - Excel Export <= 3.3.6 - Missing Authorization to Authenticated (Subscriber+) XLS Write via Path Traversal

MEDIUM PLUGIN

kirki

Kirki <= 6.0.13 - Authenticated (Editor+) Path Traversal to Arbitrary Directory Deletion via 'family' Parameter

HIGH PLUGIN

lastudio-element-kit

LA-Studio Element Kit for Elementor <= 1.6.1 - Authenticated (Contributor+) Local File Inclusion via 'progress_type' Widget Setting

HIGH PLUGIN

hide-wp-login

Hide My WP Lite <= 1.3 - Unauthenticated Path Traversal to Arbitrary File Read via 'he_wrapper_js' Parameter

MEDIUM PLUGIN

happyforms

HappyForms <= 1.26.12 - Authenticated (Admin+) Local File Inclusion

MEDIUM PLUGIN

wpfunnels

WPFunnels <= 3.12.7 - Authenticated (Administrator+) Local File Inclusion via 'logKey' Parameter

MEDIUM PLUGIN

the-plus-addons-for-block-editor

Nexter Blocks <= 4.7.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'commentIcon' Block Attribute

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto