Fuente base de datos: Wordfence Intelligence

WPMU DEV Dashboard <= 5.0.0 - Authentication Bypass to Arbitrary Plugin Installation (Remote Code Execution) via Forged WDP_AUTH HMAC on ?wpmudev-hub= Endpoint en Wpmudev Updates (ejecucion remota de codigo (RCE)) - version 5.0.1

PLUGIN HIGH CVE-2026-15459

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WPMU DEV Dashboard, que permite la ejecución remota de código mediante un bypass de autenticación. Esto puede resultar en la instalación arbitraria de plugins, comprometiendo la seguridad del sitio web.

Contexto técnico

El fallo se encuentra en versiones del plugin WPMU DEV Dashboard hasta la 5.0.0, donde un atacante puede aprovechar un HMAC forjado en el endpoint ?wpmudev-hub= para eludir la autenticación. Esto expone el sistema a la instalación no autorizada de plugins maliciosos.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante ejecutar código malicioso en el servidor, comprometiendo la integridad y disponibilidad del sitio web. Esto puede traducirse en pérdidas económicas y reputacionales significativas para la organización afectada.

Vector de explotación

Los atacantes suelen utilizar HMAC forjados en solicitudes a la URL específica para eludir la autenticación y ejecutar código remoto sin necesidad de credenciales válidas.

Mitigación recomendada

Actualizar el plugin WPMU DEV Dashboard a la versión 5.0.1 o superior para corregir la vulnerabilidad. Revisar y auditar los plugins instalados para detectar posibles instalaciones no autorizadas. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web y monitorización de tráfico.

Señales de detección

Revisar logs de acceso para solicitudes inusuales al endpoint ?wpmudev-hub= y verificar cambios no autorizados en los plugins instalados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.0.1. No se han confirmado casos en versiones posteriores.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

fluentformpro

Fluent Forms Pro 6.2.7 & Ninja Tables Pro 5.2.13 - Remote Code Execution via Backdoor

CRITICAL PLUGIN

ninja-tables-pro

Fluent Forms Pro 6.2.7 & Ninja Tables Pro 5.2.13 - Remote Code Execution via Backdoor

CRITICAL PLUGIN

woo-social-login

WooCommerce - Social Login <= 2.8.7 - Unauthenticated Authentication Bypass via Forged Apple 'id_token' JWT

HIGH PLUGIN

kali-forms

Kali Forms <= 2.4.20 - Unauthenticated Remote Code Execution via 'thisPermalink' Field Parameter

MEDIUM PLUGIN

woocommerce-paypal-payments

WooCommerce PayPal Payments <= 3.3.2 - Unauthenticated Sensitive Information Disclosure

HIGH PLUGIN

subscriptions-for-woocommerce

Subscriptions for WooCommerce <= 2.0.0 - Authenticated (Contributor+) Privilege Escalation via '_wps_plan_user_role' Membership Plan Meta

CRITICAL PLUGIN

spider-analyser

Spider Analyser – WordPress搜索引擎蜘蛛分析插件 <= 2.1.3 - Unauthenticated Remote Code Execution

MEDIUM PLUGIN

colissimo-shipping-methods-for-woocommerce

Colissimo shipping methods for WooCommerce <= 2.10.0 - Authenticated (Customer+) Insecure Direct Object Reference

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto