CVE-2026-109931 Actualización de la clave de API de Google Translate en Infility Global sin autenticación

Qué es CVE-2026-109931

El plugin Infility Global de WordPress anterior a 2.16.25 no realiza comprobaciones de autorización ni de nonce en una acción AJAX disponible para usuarios no autenticados, permitiendo a cualquier visitante sobrescribir un valor de configuración de traducción automática de un plugin complementario Infility Global anterior a 2.16.25.

Productos y versiones afectadas

• Infility Global

  • hasta antes de 2.16.25

Qué hacer

1. Verificá si usás Infility Global y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 3.7 BAJA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The Infility Global WordPress plugin before 2.16.25 does not perform any authorisation or nonce check on an AJAX action available to unauthenticated users, allowing any visitor to overwrite a machine-translation configuration value belonging to a companion Infility Global WordPress plugin before 2.16.25.

Referencias

• wpscan.com/vulnerability/2d730144-fc13-4921-aa2f-1e0233b0a196/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 22 OCT · 04:09VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.