Fuente base de datos: Wordfence Intelligence

ilGhera Carta Docente for WooCommerce <= 1.5.0 - Authenticated (Administrator+) Path Traversal to Arbitrary File Deletion via 'cert' Parameter

PLUGIN MEDIUM CVE-2026-2421

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo 'Path Traversal' en el plugin ilGhera Carta Docente para WooCommerce, que permite la eliminación arbitraria de archivos a través del parámetro 'cert'. Esta afectación se da en versiones hasta la 1.5.0, con un nivel de severidad medio (CVSS 6.5).

Contexto técnico

La vulnerabilidad permite a un usuario autenticado con privilegios de administrador manipular el parámetro 'cert' para acceder a rutas de archivo no autorizadas, lo que puede resultar en la eliminación de archivos arbitrarios en el servidor.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que un atacante podría eliminar archivos críticos del sistema, comprometiendo la integridad de la instalación de WordPress y potencialmente afectando la operativa del negocio.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante la manipulación del parámetro 'cert' en una solicitud HTTP, lo que permite al atacante especificar rutas de archivos que no deberían ser accesibles.

Mitigación recomendada

Se recomienda actualizar el plugin ilGhera Carta Docente a la versión 1.5.1 o superior. Además, es aconsejable revisar los permisos de usuario y aplicar prácticas de hardening en la configuración del servidor.

Señales de detección

Señales de posible explotación incluyen logs de acceso inusuales que intenten acceder a rutas de archivos sensibles o intentos de eliminación de archivos no autorizados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin ilGhera Carta Docente para WooCommerce hasta la 1.5.0.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

woo-custom-product-addons-pro

Woocommerce Custom Product Addons Pro <= 5.4.1 - Unauthenticated Remote Code Execution via Custom Pricing Formula

MEDIUM PLUGIN

woo-product-filter

Product Filter for WooCommerce by WBW <= 3.1.2 - Missing Authorization to Unauthenticated Filter Data Deletion via TRUNCATE TABLE

MEDIUM PLUGIN

commerce-coinbase-for-woocommerce

Coinbase Commerce – Crypto Gateway for WooCommerce <= 1.6.6 - Missing Authorization

MEDIUM PLUGIN

reviewx

ReviewX – WooCommerce Product Reviews with Multi-Criteria, Reminder Emails, Google Reviews, Schema & More <= 2.2.10 - Incorrect Authorization to Unauthenticated Information Exposure and Data Manipulation

HIGH PLUGIN

reviewx

ReviewX – WooCommerce Product Reviews with Multi-Criteria, Reminder Emails, Google Reviews, Schema & More <= 2.2.12 - Unauthenticated Limited Remote Code Execution

MEDIUM PLUGIN

reviewx

ReviewX – WooCommerce Product Reviews with Multi-Criteria, Reminder Emails, Google Reviews, Schema & More <= 2.2.12 - Unauthenticated Sensitive Information Exposure to Data Export

MEDIUM PLUGIN

reviewx

ReviewX – WooCommerce Product Reviews with Multi-Criteria, Reminder Emails, Google Reviews, Schema & More <= 2.2.12 - Unauthenticated Sensitive Information Exposure

CRITICAL PLUGIN

kali-forms

Kali Forms <= 2.4.9 - Unauthenticated Remote Code Execution via form_process

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto