CVE-2026-119977highbajo ataqueCWE-367

CVE-2026-119977: fallo de gravedad alta en WordPress

WordPress Core 4.7.0 - 7.1.3 - Unauthenticated Upgrade-Window Staged-Installer Remote Code Execution

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear WordPress+ Monitorear Core

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

71Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 8.1epss 1.2%
de la publicación al armael mismo día
Publicada en NVD31 oct
1ª PoC15 nov
CISA KEV+3d
Acción exigida por CISAplazo federal: 2026-11-06

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En resumen

Las versiones de WordPress de la 4.7 a la 7.1.3 tienen un fallo que permite a un visitante no autenticado ejecutar código en el servidor durante una actualización del núcleo. Puede explotarse solo mientras dura esa ventana de actualización.

Detalle técnico

Ejecución remota de código sin autenticación en WordPress Core 4.7 a 7.1.3 (CVSS 8.1, CWE-367). Las actualizaciones completas del núcleo utilizan rutas de staging predecibles y accesibles por web, expuestas durante la ventana de actualización. La explotación permite ejecutar código en el servidor, con un impacto alto en confidencialidad, integridad y disponibilidad.

Resumen generado y traducido por IA a partir de la descripción oficial.
WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This is due to predictable, web-accessible staging paths used during full-package core upgrades. This makes it possible for unauthenticated attackers to execute code on the server during the upgrade window.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
WordPress Foundation · WordPress
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — WordPress

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-2745MEDIUMWordPress Core < 6.2.1 - Directory TraversalEPSS 79.7%CVE-2024-4439HIGHCVE-2024-4439EPSS 71.0%CVE-2023-5692MEDIUMWordPress Core <= 6.4.3 - Sensitive Information Exposure via redirect_guess_404_permalinkEPSS 0.8%CVE-2024-6307MEDIUMWordPress Core < 6.5.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via HTML APIEPSS 0.5%CVE-2022-4973MEDIUMWordPress Core < 6.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via use of the_meta(); functionEPSS 0.4%CVE-2026-3906MEDIUMWordPress 6.9 - 6.9.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Note Creation via REST APIEPSS 0.4%