Una vulnerabilidad crítica en el plugin de WordPress WPvivid Backup & Migration puede permitir que un atacante no autenticado suba archivos y ejecute código en el servidor, un camino que suele terminar en la toma completa del sitio. El fallo está registrado como CVE-2026-1357, con una puntuación de 9.8 (Crítico), y afecta a las versiones del plugin hasta la 0.9.123 incluida, 

Una falla crítica en el plugin de WordPress WPvivid Backup & Migration puede permitir que un atacante no autenticado suba archivos y ejecute código en el servidor, un camino que suele terminar en la toma completa del sitio.

El problema está registrado como CVE-2026-1357, con una puntuación de 9.8 (Crítico), y afecta a las versiones del plugin hasta la 0.9.123, incluida. La solución está disponible en la versión 0.9.124.

El riesgo más grave solo se aplica cuando un sitio ha habilitado la función de "recibir una copia de seguridad desde otro sitio" del plugin, generando una clave en la configuración, ya que esta función está desactivada por defecto y la clave puede caducar en un máximo de 24 horas.

En el flujo vulnerable, los atacantes pueden dirigirse al endpoint de recepción de copias de seguridad y activar la ruta de subida asociada al parámetro wpvivid_action=send_to_site.

Los investigadores de Wordfence señalaron que la vulnerabilidad proviene de un error en el manejo criptográfico combinado con una gestión insegura de rutas de archivos, lo que hace posible la subida arbitraria de archivos PHP y la ejecución remota de código.

Cómo funciona la subida

Cuando el descifrado RSA falla durante el procesamiento del mensaje, el código puede continuar con un valor falso que se convierte en una clave predecible de "todos bytes nulos" en la rutina AES/Rijndael, permitiendo a los atacantes crear datos que el servidor aceptará.

El plugin también aceptaba nombres de archivo del payload descifrado sin la sanitización adecuada, lo que permitía travestismo de directorios, de modo que un archivo podía escapar del directorio de copias de seguridad previsto y terminar en una ubicación accesible desde la web.

WPvivid solucionó el problema en la versión 0.9.124 deteniendo el procesamiento cuando la clave descifrada está vacía o es falsa, y restringiendo las subidas a extensiones de copias de seguridad esperadas (como zip/gz/tar/sql).

Campo	Detalles
Vulnerabilidad	Subida arbitraria de archivos sin autenticación → Ejecución remota de código (RCE)
CVE / CVSS	CVE-2026-1357 / 9.8 (Crítico)
Versiones afectadas	≤ 0.9.123
Versión parcheada	0.9.124
Condición de explotación	Clave de recepción de copias de seguridad generada y habilitada; caducidad máxima de 24h
Superficie de ataque clave	Ruta de subida wpvivid_action=send_to_site
Causa raíz	Fallo en el descifrado RSA no detenido + travestismo de directorios/nombres sin sanitizar

Los administradores deben actualizar a la versión 0.9.124, desactivar la clave de recepción de copias de seguridad cuando no sea necesaria, rotar las claves generadas y revisar el directorio raíz web en busca de archivos PHP inesperados creados durante el período en que la clave estuvo activa.

Fuentes:
https://cybersecuritynews.com/wordpress-backup-plugin-vulnerability/