CVE-2026-108587
10Web Booster <= 2.34.10 - Carga arbitraria de archivos sin autenticación mediante el parámetro 'page_id'
- Publicado
- 15 oct 2026
- Actualizado
- 15 oct 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 4 nov 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 60,2 %
- Fecha del modelo
- 2 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El plugin 10Web Booster – Website speed optimization, Cache & Page Speed optimizer para WordPress es vulnerable a la carga arbitraria de archivos en todas las versiones hasta la 2.34.10 inclusive, a través de la función compressCustom. Esto se debe a la falta de validación del tipo de archivo y del filtrado de extensiones en el parámetro page_id, combinado con un nonce filtrado y legible por todos que elude las comprobaciones de autenticación. Esto hace posible que atacantes no autenticados carguen archivos que pueden ser ejecutables, lo que posibilita la ejecución remota de código. Esta cadena de explotación requiere obtener el nonce REST del plugin (tenwebio_rest), que se serializa automáticamente en un archivo legible por todos dentro de wp-content/uploads/ cada vez que se pausa un lote de optimización masiva; dado que el nonce se genera en un contexto de cron/loopback con un ID de usuario de 0, es válido para visitantes no autenticados.
Fuentes
- 1day-archiveInvestigación
Análisis técnicos en profundidad y análisis de causa raíz de CVEs divulgados recientemente: ingeniería inversa de parches, creación de pruebas de concepto y documentación de técnicas de explotación en la ventana de 1 día.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.