Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

EXPLOIT PÚBLICO

CVE-2026-103889 Ejecución remota de código en 3D Product configurator for WooCommerce mediante el parámetro 'xpv_image'

El plugin 3D Product configurator for WooCommerce para WordPress es vulnerable a ejecución remota de código en todas las versiones hasta la 2.16.2 inclusive, mediante el parámetro 'xpv_image'. Faltan comprobaciones de autenticación y nonce en el manejador de wp_loaded y no se sanitiza el parámetro POST antes de incluirlo sin escapar en una plantilla HTML renderizada por Dompdf con ejecución de PHP habilitada, lo que permite a atacantes no autenticados ejecutar código en el servidor mediante un único POST a…

Alerta de Nureq Monitor

Detectada 12 OCT · 11:02

CVSS 3.1

9.8CRÍTICA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,7 % PERCENTIL 54

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

Sí 1 REPOSITORIO

Qué es CVE-2026-103889

El plugin 3D Product configurator for WooCommerce para WordPress es vulnerable a ejecución remota de código en todas las versiones hasta la 2.16.2 inclusive, mediante el parámetro 'xpv_image'. Faltan comprobaciones de autenticación y nonce en el manejador de wp_loaded y no se sanitiza el parámetro POST antes de incluirlo sin escapar en una plantilla HTML renderizada por Dompdf con ejecución de PHP habilitada, lo que permite a atacantes no autenticados ejecutar código en el servidor mediante un único POST a…

Productos y versiones afectadas

  • expivi 3D Product configurator for WooCommerce

    • hasta 2.16.2

Qué hacer

  1. Verificá si usás 3D Product configurator for WooCommerce y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
  4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Ninguno
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Alta
INTEGRIDAD (I)
Alta
DISPONIBILIDAD (A)
Alta

Abrir la calculadora completa

Descripción original

The 3D Product configurator for WooCommerce plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 2.16.2 via the 'xpv_image' parameter parameter. This is due to missing authentication and nonce checks on the wp_loaded handler combined with no sanitization of the xpv_image POST parameter before it is echoed unescaped into a Dompdf-rendered HTML template with PHP execution enabled. This makes it possible for unauthenticated attackers to execute code on the server. The only nonce and authentication check in the handler is entirely enclosed in a block comment with no replacement, making the endpoint reachable via a single unauthenticated POST to any URL on the site.

Referencias

Historial de la alerta

  1. EXPLOIT PÚBLICO Se publicó el repositorio kayes817/CVE-2026-103889.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.