Fuente base de datos: Wordfence Intelligence

WCPOS <= 1.9.8 - Authenticated (Shop Manager+) Path Traversal to Arbitrary File Read via 'type' Parameter en Woocommerce POS (inclusion local de archivos (LFI)) - version 1.9.9

PLUGIN MEDIUM CVE-2026-16078

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Local File Inclusion (LFI) en el plugin WooCommerce POS, que afecta a versiones hasta la 1.9.8. Esta falla permite a usuarios autenticados con rol de Shop Manager acceder a archivos arbitrarios, lo que puede comprometer la seguridad operativa del sitio.

Contexto técnico

El fallo se presenta a través del parámetro 'type', que permite la inclusión de archivos locales. La superficie de ataque se limita a usuarios autenticados con privilegios de Shop Manager, lo que reduce el riesgo a un grupo específico de usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la lectura de archivos sensibles, lo que podría exponer información confidencial y afectar la integridad del sistema. Las empresas que utilizan WooCommerce POS deben actuar rápidamente para evitar posibles filtraciones de datos.

Vector de explotación

La explotación se realiza manipulando el parámetro 'type' en solicitudes HTTP, lo que permite a un atacante autorizado leer archivos del servidor que no deberían ser accesibles.

Mitigación recomendada

Actualizar el plugin WooCommerce POS a la versión 1.9.9 o superior para cerrar la vulnerabilidad. Revisar los permisos de usuario y limitar el acceso a roles que realmente lo necesiten. Realizar auditorías de seguridad periódicas para detectar accesos no autorizados.

Señales de detección

Señales de alerta incluyen accesos inusuales a archivos del sistema en los logs de acceso, así como intentos de manipulación del parámetro 'type' en las solicitudes.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.9.9 del plugin WooCommerce POS. No se han confirmado casos en versiones más recientes.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

the-plus-addons-for-block-editor

Nexter Blocks <= 5.0.0 - Authenticated (Subscriber+) Path Traversal to Arbitrary CSS/JS File Deletion via 'plus_name' Parameter

MEDIUM PLUGIN

ninja-forms-excel-export

Ninja Forms - Excel Export <= 3.3.6 - Missing Authorization to Authenticated (Subscriber+) XLS Write via Path Traversal

MEDIUM PLUGIN

kirki

Kirki <= 6.0.13 - Authenticated (Editor+) Path Traversal to Arbitrary Directory Deletion via 'family' Parameter

HIGH PLUGIN

lastudio-element-kit

LA-Studio Element Kit for Elementor <= 1.6.1 - Authenticated (Contributor+) Local File Inclusion via 'progress_type' Widget Setting

HIGH PLUGIN

hide-wp-login

Hide My WP Lite <= 1.3 - Unauthenticated Path Traversal to Arbitrary File Read via 'he_wrapper_js' Parameter

MEDIUM PLUGIN

happyforms

HappyForms <= 1.26.12 - Authenticated (Admin+) Local File Inclusion

MEDIUM PLUGIN

wpfunnels

WPFunnels <= 3.12.7 - Authenticated (Administrator+) Local File Inclusion via 'logKey' Parameter

HIGH PLUGIN

rt18-extensions

RT-Theme 18 Responsive WordPress Theme <= 2.5 - Unauthenticated Local File Inclusion

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto