Según la empresa de seguridad de WordPress, el fallo es un caso de carga de archivos arbitrarios que reside en la función "handle_file_upload()", derivado de una falta de validación suficiente del tipo de archivo en la entrada proporcionada por el usuario.

Como resultado, un atacante no autenticado puede aprovechar el vacío legal para subir cualquier archivo, incluido un archivo PHP especialmente diseñado, a un sitio vulnerable enviando un formulario y logrando la ejecución remota de código. Armado con esta capacidad, el atacante puede tomar el control del sitio.

"Esto se debe a una validación insuficiente del tipo de archivo en handle_file_upload, donde la lista negra de extensiones peligrosas realiza una coincidencia exacta de claves que es evadida por claves de tipo MIME alternativas con pipe, combinada con un manejador de envíos público que confía en la configuración del campo de carga controlada por el atacante inyectada a través de un valor de campo de selección falsificado", dijo Wordfence.

Otro aspecto digno de mención es que, en la configuración predeterminada, los archivos se suben a un directorio protegido por un archivo .htaccess que impide la ejecución de PHP. Pero si tú, como administrador del sitio, has configurado una raíz de almacenamiento de carga de archivos personalizada, es posible que no tenga la misma protección, ya que el archivo se crea "solo cuando se necesita por primera vez, durante una solicitud de frontend donde el ayudante de WordPress responsable de escribir el archivo .htaccess no se carga".

Como resultado, solicitar el archivo cargado es suficiente para que el servidor web ejecute el código PHP controlado por el atacante.

Fallo de omisión de autenticación en el plugin User Profile Builder

La revelación llega días después de que Wordfence resaltara otro error crítico de omisión de autenticación en User Profile Builder, que tiene más de 40,000 instalaciones activas de WordPress, que podría permitir a atacantes no autenticados iniciar sesión como el usuario con ID 1 (normalmente el administrador del sitio) y tomar el control del sitio.

La vulnerabilidad, rastreada como CVE-2026-15826 (puntuación CVSS: 9.8), fue parcheada el 16 de julio de 2026, con el lanzamiento de la versión 3.16.5. Todas las versiones anteriores están afectadas por el problema, pero solo es explotable en sitios donde la configuración de Inicio de Sesión Automático del plugin está habilitada.

"Esto se debe a que la función wppb_log_in_user() llama a absint() sobre el valor de retorno de wp_insert_user() antes de realizar una comprobación de is_wp_error(); cuando se envía un registro con un nombre de usuario de 61 a 70 caracteres, el núcleo de WordPress lo rechaza con un objeto WP_Error, pero absint() fuerza ese objeto al entero 1 antes de que la comprobación de errores pueda interrumpir la ejecución, haciendo que el plugin vincule y devuelva un nonce de autologin respaldado por un transitorio vinculado al ID de usuario 1", afirmó Wordfence en su informe.

"Esto hace posible que atacantes no autenticados inicien sesión como la cuenta de Administrador del sitio (ID de usuario 1), resultando en una toma de control administrativa total del sitio".

Si tienes alguno de los dos plugins, se te recomienda aplicar las actualizaciones lo antes posible y asegurarte de que tus instalaciones estén al día.

Fuente:
THN