Vulnerabilidad · crítica · CVSS 9.8
Fallo crítico sin parche en el plugin WP Duplicate de WordPress ya explotado
Nivel A · Parchea hoy – Antes de terminar la jornada
Quién está expuesto: Sitios WordPress con el plugin WP Duplicate o LocalSync
Nivel A porque: Se está explotando Y aún sin corrección
Alcance
Ataque
Daño
Corrección
Se está explotando · Exploit público · En remoto, sin credenciales · Compromiso total · Aún sin corrección
Qué hacer
- Comprobar si el sitio tiene instalado el plugin WP Duplicate o LocalSync
Lo esencial
- La vulnerabilidad CVE-2026-123751 del plugin de migración WP Duplicate (antes LocalSync) permite a un atacante sin credenciales subir archivos PHP.
- Según WordPress Directo, la vulnerabilidad ya está siendo explotada y todavía no existe una versión corregida.
Por qué importa
Subir archivos PHP permite a un atacante tomar el control del sitio, por lo que los administradores de WordPress que usen este plugin deben tomarlo en cuenta mientras no haya parche.
La checklist detrás del nivel
Checklist · 6 de 10 con sí
| Sí | Afecta a equipos técnicos | Juicio: WP Duplicate es un plugin de migración que usan administradores y desarrolladores de sitios WordPress. |
| No | Infraestructura básica | Juicio: es un único plugin de WordPress, no software de infraestructura que operen casi todos los equipos. |
| No | Herramienta popular | Juicio: es un plugin de nicho dentro de WordPress, no una herramienta de uso generalizado. |
| Sí | Se está explotando | WordPress Directo: la vulnerabilidad CVE-2026-123751 está siendo explotada. |
| Sí | Exploit público | CVE.orgEl registro de CVE-2026-123751 enlaza un exploit: wpscan.com |
| Sí | En remoto, sin credenciales | CVSSCVE-2026-123751: CVSS 9.8 – por red, sin privilegios, sin interacción del usuario |
| Sí | Compromiso total | CVSSCVE-2026-123751: CVSS califica como alto el impacto en confidencialidad e integridad |
| No | Secretos expuestos | WordPress Directo: no se informa de robo de credenciales, datos ni configuraciones. |
| No | Cadena de suministro | WordPress Directo: el fallo es una vulnerabilidad de subida de archivos, no un compromiso de distribución del software. |
| Sí | Aún sin corrección | WordPress Directo: no hay versión corregida disponible para el plugin. |
El registro oficial
De CVE.org, el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, FIRST EPSS y la GitHub Advisory Database. Cuando responden un hecho de la checklist, pesan más que las notas.
CVE-2026-123751 ↗CVSS 9.8 critical AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
WP Duplicate <= 1.1.11 - Unauthenticated Arbitrary File Upload via Authentication Bypass
- Explotado
- No está en el catálogo de explotadas de CISA
- EPSS
- <1% de probabilidad de explotación en los próximos 30 días · más alta que el 20% de todos los CVE
- Debilidad
- CWE-434
Cronología
Se publica el aviso de la vulnerabilidad, que ya se explota y no tiene versión corregida
WordPress Directo
WP Duplicate: un fallo crítico sin parche permite subir PHP y ya se explota
Fuente
WP Duplicate: un fallo crítico sin parche permite subir PHP y ya se explota ↗ WordPress Directo · hace 2 h
Visto por primera vez · 1 fuente · La noticia completa · Cómo se deciden los niveles