Índice
Resumen ejecutivo
| CVE | Fabricante | Producto | Fecha de publicación | Severidad | CVSS | Puntuación de prioridad | Acción recomendada |
|---|---|---|---|---|---|---|---|
| CVE-2026-16098 | prosolution | ProSolution WP Client | 2026-08-16 | CRITICAL | 9.8 | 250 | Revisar aviso oficial y actualizar |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-16098 afecta al plugin ProSolution WP Client de WordPress. Se trata de una carga arbitraria de archivos (Arbitrary File Upload) que permite a atacantes sin autenticación subir archivos con extensiones potencialmente ejecutables. La falla se origina en la falta de validación del encabezado Content-Disposition y en una comprobación de extensión insuficiente después de la escritura del archivo.
Productos y versiones vulnerables
| Vendor | Producto | Versiones afectadas |
|---|---|---|
| prosolution | ProSolution WP Client | Versión 0 a 2.0.10 (inclusive) |
Impacto y riesgo
Un atacante que explote esta vulnerabilidad puede subir archivos con código malicioso y, tras la carga, ejecutar ese código en el servidor. Esto conduce a una ejecución remota de código (RCE), comprometiendo la integridad, disponibilidad y confidencialidad de la instalación de WordPress y, potencialmente, de la infraestructura subyacente.
Estado de explotación conocida
No se dispone de evidencia de explotación activa en producción según las fuentes consultadas. Se recomienda actuar de inmediato para evitar posibles ataques.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
- Accede al panel de administración de WordPress (
wp-admin). - Ve a la sección de plugins y localiza ProSolution WP Client.
- Revisa la versión instalada. Si es 2.0.10 o inferior, la instalación es vulnerable.
- Comprueba que la funcionalidad de carga de archivos esté habilitada y que el plugin esté activo.
Mitigación y actualización
La única mitigación eficaz es actualizar el plugin a la última versión disponible. Si la actualización no es posible, desactiva la funcionalidad de carga de archivos o aplica un parche temporal que restrinja los tipos de archivos permitidos.
Checklist para administradores
- ☐ Verificar la versión actual de ProSolution WP Client.
- ☐ Aplicar la actualización a la versión más reciente.
- ☐ Revisar y restringir los tipos de archivos permitidos en la configuración del plugin.
- ☐ Desactivar la funcionalidad de carga de archivos si no es necesaria.
- ☐ Monitorizar los logs de subida de archivos en busca de actividad sospechosa.
- ☐ Revisar la generación de nonce y la exposición de
wp_localize_scripten las páginas front-end.
Preguntas frecuentes
1. ¿Qué impacto tiene esta vulnerabilidad?
Permite la carga arbitraria de archivos y la ejecución remota de código, lo que puede comprometer todo el sitio y la infraestructura.
2. ¿Cómo sé si mi sitio está afectado?
Comprueba la versión del plugin ProSolution WP Client; si es 2.0.10 o inferior, es vulnerable.
3. ¿Existe un parche disponible?
La actualización del plugin a la última versión disponible corrige la vulnerabilidad.
4. ¿Puedo desactivar la funcionalidad de carga de archivos?
Sí, revisa la configuración del plugin y desactiva la opción de carga si no es necesaria.
5. ¿Hay riesgo de explotación activa?
No se dispone de evidencia de explotación activa en producción según las fuentes consultadas.