Se han detectado fallos de seguridad críticos en varios complementos y temas de WordPress, incluyendo Avada, GiveWP y TranslatePress. Estas vulnerabilidades podrían permitir a atacantes no autenticados tomar el control total de los sitios, saltar la autenticación o ejecutar código remoto. Se recomienda actualizar los plugins afectados para mitigar estos riesgos graves.







Se han revelado múltiples fallos de seguridad críticos en plugins y temas de WordPress, incluyendo WPMU DEV Dashboard, Avada, TranslatePress, Pods y GiveWP, que podrían permitir la evasión de la autenticación, la toma de control de cuentas y la ejecución de código arbitrario.

Las vulnerabilidades, según Wordfence y Patchstack, se enumeran a continuación -

* CVE-2026-76581
Enlace a la noticia
(puntuación CVSS: 9.8) - Un fallo de evasión de autenticación en el plugin WPMU DEV Dashboard que podría permitir que un atacante no autenticado, en sitios conectados a WPMU DEV con Hub Single-Sign On (SSO) habilitado y mapeado a un administrador, obtenga acceso de administrador y logre tomar el control del sitio. (Afecta a todas las versiones hasta la 5.0.1 inclusive)
* CVE-2026-18431
Enlace a la noticia
(puntuación CVSS: 9.8) - Un fallo de escritura de archivos arbitrarios en el tema Avada para WordPress que permite a un atacante no autenticado escribir archivos controlados por el atacante en el servidor, lo que a su vez puede explotarse para crear y ejecutar archivos PHP arbitrarios, resultando en una ejecución remota de código y el compromiso total del sitio. (Afecta a todas las versiones hasta la 7.16 inclusive, cuando el plugin Fusion Builder esté instalado y activo en versiones hasta la 3.16 inclusive)
* CVE-2026-19632
Enlace a la noticia
(puntuación CVSS: 9.8) - Un fallo de exposición de información sensible en el plugin "TranslatePress – Translate Multilingual sites with AI Translation" que podría permitir a un atacante no autenticado extraer la URL bruta de restablecimiento de contraseña del administrador, incluyendo la clave de restablecimiento en texto plano y los parámetros de inicio de sesión, permitiendo la toma de control total de la cuenta del administrador. (Afecta a todas las versiones hasta la 3.3.1 inclusive solo cuando el guardado automático de cadenas está habilitado y la configuración regional del perfil del administrador objetivo está establecida en un idioma secundario publicado)
* CVE-2026-19598
Enlace a la noticia
(puntuación CVSS: 9.8) - Un fallo de escalada de privilegios en el plugin "Pods – Custom Content Types and Fields" que permite a un atacante no autenticado escalar sus privilegios a Administrador o sobrescribir la contraseña de cualquier cuenta de usuario, incluido el propietario del sitio, resultando en la toma de control total del sitio. (Afecta a todas las versiones hasta la 3.3.9 inclusive)
* CVE-2026-82222
Enlace a la noticia
(puntuación CVSS: 10.0) - Una vulnerabilidad en el plugin GiveWP que permite a un atacante ejecutar comandos arbitrarios en el servidor de un sitio GiveWP que tenga un formulario de donación publicado y una pasarela de pago activa. (Afecta a todas las versiones hasta la 4.16.7.1 inclusive)

"El fallo encadena un ayudante de 'deserialización segura' roto, un flujo de donación que alimenta a ese ayudante con datos controlados por el atacante y una cadena de gadgets en el código que GiveWP distribuye", dijo Patchstack sobre el CVE-2026-82222. "Este caso muestra cómo la inyección de objetos PHP se convierte en ejecución remota de código cuando se alinean tres ingredientes: un lugar para almacenar un objeto serializado controlado por el atacante, código que luego lo deserializa y una cadena de gadgets en las clases cargadas".

"Las causas raíz son comunes: confiar en un sanitizador de serialización que en realidad no elimina los objetos, deserializar datos leídos de la base de datos como si fueran confiables y distribuir librerías solo para desarrollo en producción donde proporcionan cadenas de gadgets ya preparadas".

Fuente:
THN