CVE-2026-123751 Carga arbitraria de archivos en WP Duplicate mediante evasión de autenticación
El plugin no verifica correctamente un valor de autenticación de la solicitud ni valida la ruta o el tipo de los archivos subidos, lo que permite a atacantes no autenticados escribir archivos arbitrarios en el servidor y lograr ejecución remota de código. La vulnerabilidad está siendo explotada activamente en el wild. Afecta hasta la versión 1.1.11.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 20
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
WP Duplicate
hasta 1.1.11
Qué hacer
- Verificá si usás WP Duplicate y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The WP Duplicate WordPress plugin through 1.1.11 does not properly verify a request authentication value and does not validate the path or type of uploaded files, making it possible for unauthenticated attackers to write arbitrary files to the server and achieve remote code execution. This vulnerability is being actively exploited in the wild.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.