fuente: https://thehackernews.com/2026/09/attackers-exploit-woocommerce-wholesale.html
Actores maliciosos están explotando una vulnerabilidad de seguridad crítica en WooCommerce Wholesale Lead Capture, un plugin premium de WordPress que cuenta con más de 6.000 instalaciones activas.
"Esta vulnerabilidad puede ser aprovechada por atacantes no autenticados para cargar archivos arbitrarios, incluidas puertas traseras (backdoors) PHP, y lograr la ejecución remota de código", señaló Wordfence.
La empresa de seguridad para WordPress informó que ha bloqueado más de 100.000 intentos de explotación dirigidos a esta vulnerabilidad desde junio de 2026; de ellos, 99 intentos de ataque se registraron en las últimas 24 horas. La vulnerabilidad está catalogada como CVE-2026-27540 (puntuación CVSS: 9,8).
El problema consiste en una vulnerabilidad de carga de archivos arbitrarios debida a la falta de validación del tipo de archivo en una acción AJAX denominada "wwlc_file_upload_handler", la cual afecta a todas las versiones del plugin hasta la 2.0.3.1 inclusive. Esto permite que un atacante no autenticado cargue archivos arbitrarios en el servidor del sitio afectado, facilitando así la ejecución remota de código.
En los ataques observados por Wordfence, se ha detectado que los actores maliciosos envían solicitudes manipuladas a la acción AJAX "wwlc_file_upload_handler" utilizando un parámetro file_settings falsificado y un archivo PHP malicioso ("shell.php").
El proyecto Apache Fory reveló cuatro vulnerabilidades el 21 de julio de 2026. Tres de ellas son de gravedad importante y una de gravedad moderada. La versión 1...
Leer artículo →n8n ha corregido una vulnerabilidad de alta gravedad que permitía a un editor de flujos de trabajo autenticado ejecutar comandos del sistema operativo en el ser...
Leer artículo →Eludiendo el Código: Una Agresión a la Confianza Un atacante no identificado liquidó por completo el protocolo de criptomoneda AFX Trade sin explotar ninguna vu...
Leer artículo →