Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-104764 Inyección de objetos PHP en Post Export Import with Media vía page_data[meta]

El plugin Post Export Import with Media para WordPress, hasta la versión 1.17.1, es vulnerable a inyección de objetos PHP por deserialización de entrada no confiable. Atacantes autenticados con nivel Administrator o superior pueden inyectar un objeto PHP; no hay cadena POP conocida en el software, por lo que el impacto depende de otro plugin o tema instalado que la contenga.

Alerta de Nureq Monitor

Detectada 14 OCT · 07:09

CVSS 3.1

7.2ALTA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,6 % PERCENTIL 50

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-104764

El plugin Post Export Import with Media para WordPress, hasta la versión 1.17.1, es vulnerable a inyección de objetos PHP por deserialización de entrada no confiable. Atacantes autenticados con nivel Administrator o superior pueden inyectar un objeto PHP; no hay cadena POP conocida en el software, por lo que el impacto depende de otro plugin o tema instalado que la contenga.

Productos y versiones afectadas

  • wpazleen Post Export Import with Media

    • hasta 1.17.1

Qué hacer

  1. Verificá si usás Post Export Import with Media y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.2 ALTA

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Altos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Alta
INTEGRIDAD (I)
Alta
DISPONIBILIDAD (A)
Alta

Abrir la calculadora completa

Descripción original

The Post Export Import with Media plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 1.17.1 via deserialization of untrusted input . This makes it possible for authenticated attackers, with administrator-level access and above, to inject a PHP Object. No known POP chain is present in the vulnerable software, which means this vulnerability has no impact unless another plugin or theme containing a POP chain is installed on the site. If a POP chain is present via an additional plugin or theme installed on the target system, it may allow the attacker to perform actions like delete arbitrary files, retrieve sensitive data, or execute code depending on the POP chain present.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.