Fuente base de datos: Wordfence Intelligence

WP Foodbakery <= 4.9 - Authenticated (Subscriber+) Arbitrary File Deletion via via delete_locations_backup_file AJAX Action (vulnerabilidad)

PLUGIN HIGH CVE-2026-15802

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha detectado una vulnerabilidad crítica en el plugin WP Foodbakery que permite la eliminación arbitraria de archivos a través de la acción AJAX delete_locations_backup_file. Este fallo, con una severidad alta (CVSS 8.1), puede comprometer la integridad de los archivos en el servidor, afectando gravemente la operativa del sitio web.

Contexto técnico

La vulnerabilidad se presenta en el plugin WP Foodbakery en versiones anteriores a la 4.9, permitiendo a usuarios autenticados con rol de suscriptor o superior ejecutar acciones no autorizadas. La superficie de ataque se centra en la funcionalidad AJAX que gestiona la eliminación de archivos de respaldo.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante eliminar archivos críticos del sistema, lo que podría resultar en la pérdida de datos y afectar la disponibilidad del servicio. Esto puede comprometer la confianza de los usuarios y la reputación del negocio.

Vector de explotación

La explotación se realiza mediante la invocación de la acción AJAX delete_locations_backup_file, lo que permite a usuarios autenticados enviar solicitudes maliciosas para eliminar archivos sin la debida autorización.

Mitigación recomendada

Actualizar el plugin WP Foodbakery a la versión 4.9 o superior para cerrar la vulnerabilidad. Revisar los permisos de usuario para asegurar que solo los roles necesarios tengan acceso a funciones críticas. Implementar copias de seguridad regulares para mitigar la pérdida de datos en caso de explotación.

Señales de detección

Monitorear los logs de acceso en busca de solicitudes inusuales a la acción delete_locations_backup_file, especialmente desde cuentas de usuario con privilegios limitados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.9 del plugin WP Foodbakery. No se han confirmado casos en versiones posteriores.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

wp-foodbakery

WP FoodBakery <= 3.3 - Unauthenticated PHP Object Injection

HIGH PLUGIN

wp-foodbakery

FoodBakery | Delivery Restaurant Directory WordPress Theme <= 4.7 - Missing Authorization in Multiple Functions

HIGH PLUGIN

wp-foodbakery

FoodBakery | Delivery Restaurant Directory WordPress Theme <= 4.7 - Cross-Site Request Forgery in Multiple Functions

MEDIUM PLUGIN

wp-foodbakery

WP Foodbakery <= 4.8 - Reflected Cross-Site Scripting

CRITICAL PLUGIN

wp-foodbakery

WP Foodbakery <= 4.7 - Unauthenticated Arbitrary File Upload

CRITICAL PLUGIN

wp-foodbakery

WP Foodbakery <= 4.7 - Unauthenticated Privilege Escalation in foodbakery_registration_validation

CRITICAL PLUGIN

wp-foodbakery

WP Foodbakery <= 4.8 - Authentication Bypass in foodbakery_parse_request

MEDIUM PLUGIN

wp-foodbakery

FoodBakery | Delivery Restaurant Directory WordPress Theme <= 2.1 - Reflected Cross-Site Scripting

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto