Un fallo crítico sin parche afecta al plugin Confection de WordPress

Nivel B · Parchea esta semana – Al sprint

Quién está expuesto: Sitios WordPress que usan el plugin Confection Cable

Nivel B porque: Se está explotando O exploit público

Alcance

Ataque

Daño

Corrección

Exploit público · En remoto, sin credenciales · Compromiso total · Aún sin corrección

CVE-2026-115252 ↗

Qué hacer

Comprobar si el plugin Confection Cable está instalado en los sitios WordPress propios o de clientes

Lo esencial

Un fallo crítico en el plugin Confection Cable de WordPress permite ejecutar código en el servidor sin iniciar sesión.
La vulnerabilidad está registrada como CVE-2026-115252 y tiene una puntuación CVSS de 10.0, la máxima.
El titular indica que el fallo aún no tiene parche disponible.

Por qué importa

Cualquier sitio con este plugin instalado puede quedar comprometido por un atacante remoto sin credenciales, por lo que conviene revisar si se usa y limitar la exposición hasta que exista una corrección.

La checklist detrás del nivel

Checklist · 5 de 10 con sí

Sí	Afecta a equipos técnicos	Juicio: el plugin afecta a sitios WordPress que administran equipos de operaciones y desarrollo.
No	Infraestructura básica	Juicio: es un plugin concreto de WordPress, no software de infraestructura básica.
No	Herramienta popular	Juicio: el fallo está en un plugin de nicho, no en WordPress ni en una herramienta muy extendida.
No	Se está explotando	RedesZone: la fuente no informa de ataques reales que aprovechen el fallo.
Sí	Exploit público	CVE.orgEl registro de CVE-2026-115252 enlaza un exploit: wpscan.com
Sí	En remoto, sin credenciales	CVSSCVE-2026-115252: CVSS 10 – por red, sin privilegios, sin interacción del usuario
Sí	Compromiso total	CVSSCVE-2026-115252: CVSS califica como alto el impacto en confidencialidad e integridad
No	Secretos expuestos	RedesZone: la fuente no indica robo ni exposición de credenciales o datos.
No	Cadena de suministro	RedesZone: se trata de una vulnerabilidad, no de un paquete o actualización comprometidos.
Sí	Aún sin corrección	RedesZone: el titular indica que el fallo crítico todavía está sin parche.

El registro oficial

De CVE.org, el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, FIRST EPSS y la GitHub Advisory Database. Cuando responden un hecho de la checklist, pesan más que las notas.

CVE-2026-115252 ↗CVSS 10 critical AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Confection 0.4.0 - 0.4.7 - Unauthenticated RCE via Write Key Option
Explotado
No está en el catálogo de explotadas de CISA
Debilidad
CWE-94
NVD GHSA-6ch9-px9g-8jxj

Fuente

Un fallo crítico sin parche afecta al plugin Confection de WordPress ↗ RedesZone : Portal sobre telecomunicaciones, redes y ciberseguridad · hace 2 h

Visto por primera vez hace 2 h · 1 fuente · La noticia completa · Cómo se deciden los niveles