Se ha revelado una falla de seguridad de alta gravedad en Smart Slider 3, uno de los plugins de creación de sliders más utilizados en WordPress. Con más de 800.000 instalaciones activas, esta vulnerabilidad deja expuestos a un enorme número de sitios web al riesgo de robo de datos sensibles. Registrada como CVE-2026-3098, esta falla de severidad media permite a atacantes con permisos mínimos acceder y descargar información altamente confidencial 

Fallo de seguridad de alta gravedad en Smart Slider 3, uno de los plugins de creación de sliders más utilizados en WordPress.

Con más de 800.000 instalaciones activas, esta vulnerabilidad deja un enorme número de sitios web expuestos a robos graves de datos.

Registrada como CVE-2026-3098, esta falla de gravedad media permite a atacantes con permisos mínimos acceder y descargar archivos de configuración altamente sensibles directamente desde el servidor de alojamiento.

Esta vulnerabilidad es especialmente peligrosa para sitios que permiten el registro abierto de usuarios, ya que cualquier cuenta de suscriptor estándar puede ser utilizada para ejecutar un ataque.

Vulnerabilidad en plugin de WordPress

La vulnerabilidad, clasificada como Lectura Arbitraria de Archivos Autenticada, existe en lo más profundo de la funcionalidad de exportación del plugin. En concreto, la falla subyacente reside en la función actionExportAll() dentro de la clase ControllerSliders.

En un flujo de trabajo normal, este proceso depende de múltiples solicitudes AJAX para compilar y descargar un archivo ZIP de exportación del slider que contiene imágenes y configuraciones.

Aunque una de estas acciones críticas está protegida por un nonce de seguridad, los atacantes autenticados pueden obtener fácilmente este token en versiones vulnerables del plugin.

Más crítico aún, las funciones AJAX carecen de comprobaciones de capacidad adecuadas que verifiquen el rol del usuario antes de ejecutar el código.

Este descuido permite que cualquier usuario autenticado, incluso aquellos con acceso de nivel suscriptor básico, active la acción de exportación sin necesidad de privilegios administrativos.

Además, la función create(), responsable de construir el ZIP de exportación, no valida el origen ni el tipo de los archivos que se añaden al archivo.

Como el sistema no restringe las exportaciones exclusivamente a medios seguros como imágenes o archivos de vídeo, los actores malintencionados pueden aprovechar esta característica para exportar archivos críticos del servidor.

Esto significa que los atacantes pueden extraer fácilmente extensiones .php, eludiendo por completo las restricciones de seguridad de WordPress. La principal y más crítica amenaza que plantea esta vulnerabilidad es la posible exposición del archivo central wp-config.php del sitio.

Si un atacante logra descargar este archivo, obtiene acceso inmediato a las credenciales de la base de datos, así como a las claves criptográficas y sales utilizadas para proteger las sesiones de usuario.

Con esta información sensible, un actor malintencionado podría eludir la autenticación, escalar sus privilegios y tomar el control total del servidor web afectado.

El investigador de seguridad Dmitrii Ignatyev descubrió la falla y la reportó de manera responsable a través del Programa de Recompensas por Errores de Wordfence el 23 de febrero de 2026, ganando una recompensa merecida de 2.208 dólares.

Wordfence respondió al instante, proporcionando una regla de firewall protectora a sus usuarios Premium, Care y Response el 24 de febrero para bloquear cualquier intento de explotación entrante.

Los sitios que utilizan la versión gratuita de Wordfence recibieron la misma protección exactamente 30 días después, el 26 de marzo de 2026.

Los desarrolladores del plugin en Nextend reconocieron el informe y respondieron rápidamente a la divulgación, lanzando una versión completamente parcheada el 24 de marzo de 2026.

Se insta encarecidamente a los administradores de sitios web a actualizar su plugin Smart Slider 3 a la versión 3.5.1.34 de inmediato para proteger sus entornos contra posibles explotaciones.