Fuente base de datos: Wordfence Intelligence

ShopLentor <= 3.3.7 - Authenticated (Administrator+) Arbitrary Function Execution via 'callback' Parameter via REST API en Woolentor Addons (vulnerabilidad) - version 3.3.8

PLUGIN HIGH CVE-2026-6020

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Woolentor Addons hasta la versión 3.3.7, que permite la ejecución arbitraria de funciones a través del parámetro 'callback' en la API REST. Esta falla puede ser explotada por administradores, comprometiendo la integridad del sistema operativo.

Contexto técnico

El fallo se encuentra en la implementación del plugin Woolentor Addons, donde el parámetro 'callback' en la API REST no está debidamente validado. Esto permite a un atacante autenticado con privilegios de administrador ejecutar funciones arbitrarias, lo que representa un vector de ataque significativo.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución de código malicioso, afectando la seguridad y la estabilidad del sitio web. Esto podría comprometer datos sensibles y permitir a un atacante tomar el control total del entorno, lo que implica un riesgo alto para la continuidad del negocio.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la manipulación del parámetro 'callback' en las solicitudes a la API REST, permitiendo la ejecución de funciones no autorizadas.

Mitigación recomendada

Actualizar el plugin Woolentor Addons a la versión 3.3.8 o superior para cerrar la vulnerabilidad. Revisar y auditar los registros de actividad del plugin para detectar accesos no autorizados. Implementar medidas de seguridad adicionales, como la restricción de acceso a la API REST y la validación de parámetros.

Señales de detección

Señales que pueden indicar explotación incluyen registros de solicitudes inusuales a la API REST que utilizan el parámetro 'callback' y cambios no autorizados en la configuración del plugin.

Alcance afectado

Las versiones afectadas son todas las versiones de Woolentor Addons hasta la 3.3.7. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

woolentor-addons