Fuente base de datos: Wordfence Intelligence

WPFunnels <= 3.12.7 - Unauthenticated Remote Code Execution via 'postData' Parameter (ejecucion remota de codigo (RCE)) - version 3.12.8

PLUGIN CRITICAL CVE-2026-14345

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WPFunnels, que permite la ejecución remota de código a través del parámetro 'postData'. Esta falla, clasificada como severidad crítica, puede comprometer la seguridad del sitio web y permitir a un atacante ejecutar código malicioso sin necesidad de autenticación.

Contexto técnico

La vulnerabilidad se encuentra en WPFunnels versiones hasta 3.12.7 y se explota a través del parámetro 'postData'. Al no requerir autenticación, cualquier usuario no autorizado puede enviar solicitudes maliciosas que desencadenen la ejecución de código en el servidor.

Impacto potencial

El impacto en el negocio puede ser severo, ya que un atacante podría tomar control del sitio, robar datos sensibles o comprometer la integridad del sistema. Esto puede resultar en pérdida de confianza por parte de los usuarios y daños a la reputación de la marca.

Vector de explotación

La explotación se realiza enviando solicitudes HTTP manipuladas al servidor que contienen el parámetro 'postData', lo que permite la ejecución de código remoto sin autenticación previa.

Mitigación recomendada

Actualizar WPFunnels a la versión 3.12.8 o superior para corregir la vulnerabilidad. Revisar los registros de acceso y actividad para detectar posibles intentos de explotación. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web y monitoreo constante.

Señales de detección

Señales observables incluyen solicitudes HTTP inusuales que intentan acceder al parámetro 'postData' y cambios no autorizados en los archivos del plugin.

Alcance afectado

Las versiones de WPFunnels hasta la 3.12.7 están afectadas. No se han confirmado otros escenarios de explotación en versiones posteriores.

Vulnerabilidades relacionadas

HIGH PLUGIN

widget-logic-visual

Widget Logic Visual <= 1.52 - Authenticated (Subscriber+) Remote Code Execution via 'nwlv[cod-tag]' Parameter

MEDIUM PLUGIN

bulk-order-update-for-woocommerce

Bulk Order Update for WooCommerce <= 1.6 - Unauthenticated Arbitrary File Read via 'csv_url' Parameter

HIGH PLUGIN

wc-multivendor-membership

WCFM - WooCommerce Multivendor Membership <= 2.11.10 - Insecure Direct Object Reference to Limited Privilege Escalation via User Role Overwrite

MEDIUM PLUGIN

permalink-manager-for-woocommerce

Permalink Manager for WooCommerce <= 1.0.8.2 - Cross-Site Request Forgery

HIGH PLUGIN

ar-for-woocommerce

AR for WooCommerce <= 8.40 - Unauthenticated Path Traversal to Arbitrary File Read via 'file' Parameter

CRITICAL PLUGIN

printcart-integration

Printcart Web to Print Product Designer for WooCommerce <= 2.5.2 - Unauthenticated Arbitrary File Deletion

MEDIUM PLUGIN

envo-elementor-for-woocommerce

Envo's Templates & Widgets for Elementor and WooCommerce <= 1.4.26 - Missing Authorization to Authenticated (Author+) Private Content Disclosure via Envo Tabs Widget 'templates' Setting

HIGH PLUGIN

request-a-quote

Request a Quote Form Plugin <= 2.5.5 - Unauthenticated Code Injection via 'path' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto