CVE-2026-119977
WordPress Core 4.7.0 - 7.1.3 - Ejecución remota de código mediante instalador por etapas en la ventana de actualización sin autenticación
- Publicado
- 31 oct 2026
- Actualizado
- 4 nov 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 3 nov 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 63,5 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
CISA conocida explotada
Este CVE aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA.
Resumen
WordPress Core es vulnerable a ejecución remota de código en las versiones 4.7 a 7.1.3. Esto se debe a rutas de staging predecibles y accesibles desde la web que se utilizan durante las actualizaciones completas del paquete core. Esto hace posible que atacantes no autenticados ejecuten código en el servidor durante la ventana de actualización.
Fuentes
- 1day-archiveInvestigación
Análisis técnicos en profundidad y análisis de causa raíz de CVEs divulgados recientemente: ingeniería inversa de parches, creación de pruebas de concepto y documentación de técnicas de explotación en la ventana de 1 día.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.