Resumen ejecutivo
| Campo | Detalle |
|---|---|
| CVE | CVE-2026-75865 |
| Fabricante | wplegalpages |
| Producto | WPLP Cookie Consent – Cookie Banner & Consent Management for GDPR, CCPA & Google Consent Mode |
| Fecha de publicación | 2026-09-01T01:16:51.370Z |
| Severidad | CRITICAL |
| CVSS v3.1 | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad (RyzerBot) | 250 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-75865 reside en el plugin WPLP Cookie Consent para WordPress. El fallo se debe a la falta de validación del tipo de archivo en la función saas_upload_logo() combinada con un bypass de autorización en los endpoints REST del conector WPLP. Esto permite a atacantes no autenticados subir archivos arbitrarios al servidor afectado, lo que puede derivar en ejecución remota de código (RCE).
El problema afecta a todas las versiones hasta la 4.4.1 inclusive. La puntuación CVSS 9.8 refleja un vector de ataque de red, baja complejidad, sin privilegios ni interacción del usuario, y impacto alto en confidencialidad, integridad y disponibilidad.
⚠️ CWE asociado: CWE-434 (Unrestricted Upload of File with Dangerous Type).
Productos y versiones vulnerables
| Fabricante | Producto | Versiones afectadas | Estado |
|---|---|---|---|
| wplegalpages | WPLP Cookie Consent – Cookie Banner & Consent Management for GDPR, CCPA & Google Consent Mode | ≤ 4.4.1 (semver) | Afectado |
No se han publicado otras versiones o productos afectados en las fuentes consultadas.
Impacto y riesgo
- Subida arbitraria de archivos: Un atacante puede cargar archivos maliciosos (ej. webshells) en el servidor.
- Ejecución remota de código: Al combinar la subida con la ejecución del archivo, se puede tomar control total del sitio WordPress y del servidor subyacente.
- Acceso no autenticado: No se requiere credenciales ni interacción del usuario.
- Impacto en confidencialidad, integridad y disponibilidad: Todos ellos calificados como HIGH (alto) en CVSS.
Dado que el plugin se utiliza para la gestión de consentimiento de cookies (GDPR, CCPA, Google Consent Mode), su presencia es común en sitios web corporativos y de comercio electrónico, ampliando la superficie de ataque.
Estado de explotación conocida
🔍 No se ha reportado explotación activa en las fuentes oficiales consultadas (NVD, CVE.org, Wordfence). La selección de esta CVE por RyzerBot se basa en su publicación reciente, criticidad (CVSS ≥ 9.0) y relevancia, no en evidencia de explotación en la naturaleza.
Indicadores de compromiso (IOC)
📌 No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse. Se recomienda monitorizar los registros de acceso al servidor en busca de peticiones POST sospechosas a los endpoints REST del plugin (ej. /wp-json/wplp/v1/connector/*) y la aparición de archivos inesperados en el directorio de subidas.
Cómo comprobar si estás afectado
- Accede al panel de administración de WordPress → Plugins → Plugins instalados.
- Busca WPLP Cookie Consent – Cookie Banner & Consent Management for GDPR, CCPA & Google Consent Mode.
- Verifica la versión instalada. Si es 4.4.1 o anterior, el sitio es vulnerable.
- Revisa los logs del servidor (acceso, error, PHP) en busca de peticiones anómalas a endpoints REST del plugin o subidas de archivos inusuales.
No se proporcionan comandos específicos ni scripts de detección en las fuentes oficiales.
Mitigación y actualización
- Actualizar inmediatamente a la versión 4.4.2 o superior cuando esté disponible. El changeset oficial (https://plugins.trac.wordpress.org/changeset/3674117/gdpr-cookie-consent) muestra la corrección.
- Si no hay actualización disponible, desactivar y eliminar el plugin hasta que se publique el parche.
- Implementar reglas de WAF (Web Application Firewall) que bloqueen subidas de archivos en endpoints REST no autenticados.
- Restringir el acceso a la API REST de WordPress mediante plugins de seguridad o configuración de servidor (ej. permitir solo IPs de confianza).
- Realizar una auditoría de integridad de archivos en el directorio
wp-content/uploadsy en el resto del sitio.
Checklist para administradores
- ☐ Verificar la versión del plugin WPLP Cookie Consent en todos los sitios WordPress gestionados.
- ☐ Aplicar la actualización a ≥ 4.4.2 o desactivar el plugin si no hay parche.
- ☐ Revisar logs de acceso y error en busca de explotación previa.
- ☐ Escanear el sistema de archivos en busca de webshells o archivos sospechosos.
- ☐ Configurar WAF / reglas de bloqueo para endpoints REST vulnerables.
- ☐ Notificar al equipo de seguridad y a las partes interesadas según procedimiento de respuesta a incidentes.
- ☐ Documentar las acciones realizadas y programar revisión posterior.
Preguntas frecuentes
- ¿Qué versiones exactas son vulnerables?
- Todas las versiones desde la 0 hasta la 4.4.1 inclusive (semver).
- ¿Se requiere autenticación para explotar la vulnerabilidad?
- No, la vulnerabilidad permite a atacantes no autenticados subir archivos.
- ¿Existe un parche oficial ya publicado?
- El changeset en el repositorio de WordPress (enlace en fuentes) muestra la corrección; se espera que la versión 4.4.2 o posterior incluya la solución.
- ¿Qué tipo de archivos se pueden subir?
- Archivos arbitrarios sin validación de tipo, lo que permite subir scripts PHP, webshells, etc.
- ¿Hay evidencia de explotación masiva?
- No, las fuentes consultadas no reportan explotación activa en la naturaleza.
- ¿Qué debo hacer si no puedo actualizar de inmediato?
- Desactivar y eliminar el plugin, y aplicar mitigaciones de red (WAF, restricción de acceso a REST API).
Fuentes oficiales
- NVD – CVE-2026-75865 (Fuente principal)
- Changeset de corrección en WordPress Trac
- Análisis de Wordfence