Fuente base de datos: Wordfence Intelligence
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.
Se ha detectado una vulnerabilidad crítica en el plugin 'Subscriptions for WooCommerce' que permite la instalación arbitraria de plugins a través de una acción AJAX mal configurada. Este fallo, identificado como CVE-2026-15397, puede ser explotado por usuarios con permisos de Shop Manager, lo que compromete la seguridad del sitio.
La vulnerabilidad se origina en la falta de autorización adecuada en la acción AJAX 'wps_sfw_install_plugin_configuration'. Esto permite a un usuario autenticado con privilegios de Shop Manager instalar plugins arbitrarios sin restricciones, exponiendo el sistema a posibles ataques de ejecución remota de código (RCE).
El impacto en la seguridad es significativo, ya que un atacante podría instalar plugins maliciosos que comprometan la integridad del sitio y la información de los usuarios. Esto podría resultar en pérdida de datos, alteración de la funcionalidad del sitio y daños a la reputación del negocio.
La explotación suele llevarse a cabo mediante la manipulación de solicitudes AJAX por parte de un usuario autenticado con permisos de Shop Manager, permitiendo así la instalación de plugins no autorizados.
Actualizar el plugin 'Subscriptions for WooCommerce' a la versión 2.0.1 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y limitar el acceso a la función de instalación de plugins a roles necesarios. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF) para filtrar solicitudes maliciosas.
Se deben monitorizar los logs de acceso para detectar solicitudes inusuales a la acción AJAX mencionada, así como cambios inesperados en la instalación de plugins.
Las versiones afectadas son todas las versiones de 'Subscriptions for WooCommerce' hasta la 2.0.0. La versión 2.0.1 y posteriores no están afectadas.
subscriptions-for-woocommerce
subscriptions-for-woocommerce
subscriptions-for-woocommerce
¿Tu WordPress podría estar expuesto?
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un expertoGestiona el consentimiento por categoría según tus preferencias.
Imprescindibles para la navegación, seguridad y funcionamiento básico.
Nos ayuda a medir uso y rendimiento para mejorar contenidos y UX. Incluye un identificador anónimo de visitante para analizar navegación, formularios, chat y análisis WP.
Permite personalizar campañas y medir conversiones en canales externos.
Puedes cambiar o retirar el consentimiento en cualquier momento desde «Preferencias de cookies». Más información en la Política de cookies.