HIGHCVE-2026-3892CVSS 8.1

CVE-2026-3892: Arbitrary File Access in Motors Plugin

Plataforma

wordpress

Componente

motors-car-dealership-classified-listings

Corregido en

1.4.108

El plugin Motors – Car Dealership & Classified Listings para WordPress presenta una vulnerabilidad de acceso a archivos arbitrarios. Esta falla permite a usuarios autenticados, incluso con privilegios de suscriptor, eliminar archivos en el servidor. La vulnerabilidad afecta a las versiones desde 1.0.0 hasta la 1.4.107, y ha sido solucionada en la versión 1.4.108. Se recomienda actualizar inmediatamente para mitigar el riesgo.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

Impacto y Escenarios de Ataque

Un atacante autenticado, con acceso de suscriptor o superior, puede explotar esta vulnerabilidad para borrar archivos críticos del servidor web. Esto podría resultar en la pérdida de datos, la interrupción del servicio o incluso el compromiso total del sitio web. La capacidad de eliminar archivos arbitrarios representa un riesgo significativo, ya que permite a un atacante borrar archivos de configuración, archivos de base de datos o incluso archivos del sistema operativo. La falta de validación adecuada de la ruta del archivo en el flujo de carga del logo del distribuidor es la causa raíz de este problema. Aunque no se ha reportado explotación pública, la facilidad de explotación y el impacto potencial hacen de esta vulnerabilidad una preocupación seria.

Contexto de Explotación

Esta vulnerabilidad fue publicada el 14 de mayo de 2026. No se ha reportado explotación activa en campañas dirigidas, pero la facilidad de explotación la convierte en un objetivo potencial. La vulnerabilidad no figura en la lista KEV (Known Exploited Vulnerabilities) ni tiene una puntuación EPSS (Exploit Prediction Scoring System) disponible. Se recomienda monitorear la situación y aplicar la mitigación lo antes posible.

Inteligencia de Amenazas

Estado del Exploit

Prueba de ConceptoDesconocido
CISA KEVNO
Exposición en InternetAlta
Informes2 informes de amenaza

CISA SSVC

Explotaciónnone
Automatizableno
Impacto Técnicopartial

Vector CVSS

INTELIGENCIA DE AMENAZAS· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H8.1HIGHAttack VectorNetworkCómo el atacante alcanza el objetivoAttack ComplexityLowCondiciones necesarias para explotarPrivileges RequiredLowNivel de autenticación requeridoUser InteractionNoneSi la víctima debe realizar una acciónScopeUnchangedImpacto más allá del componente afectadoConfidentialityNoneRiesgo de exposición de datos sensiblesIntegrityHighRiesgo de modificación no autorizada de datosAvailabilityHighRiesgo de interrupción del servicionextguardhq.com · Puntuación Base CVSS v3.1
¿Qué significan estas métricas?
Attack Vector
Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
Attack Complexity
Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
Privileges Required
Bajo — cualquier cuenta de usuario válida es suficiente.
User Interaction
Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
Scope
Sin cambio — el impacto se limita al componente vulnerable.
Confidentiality
Ninguno — sin impacto en confidencialidad.
Integrity
Alto — el atacante puede escribir, modificar o eliminar cualquier dato.
Availability
Alto — caída completa o agotamiento de recursos. Denegación de servicio total.

Software Afectado

Componentemotors-car-dealership-classified-listings
Proveedorwordfence
Versión mínima1.0.0
Versión máxima1.4.107
Corregido en1.4.108

Clasificación de Debilidad (CWE)

Cronología

  1. Reservado
  2. Publicada

Mitigación y Workarounds

La mitigación principal es actualizar el plugin Motors a la versión 1.4.108 o superior, que corrige la vulnerabilidad. Si la actualización no es posible de inmediato, se recomienda implementar controles de acceso estrictos para limitar los privilegios de los usuarios con acceso de suscriptor. Considere la posibilidad de implementar un sistema de revisión manual para las cargas de archivos, o utilizar un plugin de seguridad de WordPress que pueda detectar y bloquear intentos de acceso a archivos no autorizados. Revise los permisos de los archivos y directorios del servidor para asegurar que solo los usuarios autorizados tengan acceso de escritura. Después de la actualización, verifique que el proceso de carga de logo del distribuidor no permita la especificación de rutas de archivo arbitrarias.

Cómo corregirlo

Actualizar a la versión 1.4.108, o una versión parcheada más reciente

Preguntas frecuentes

What is CVE-2026-3892 — Arbitrary File Access in Motors Plugin?

CVE-2026-3892 es una vulnerabilidad de acceso a archivos arbitrarios en el plugin Motors para WordPress, que permite a usuarios autenticados borrar archivos del servidor. Afecta a las versiones 1.0.0–1.4.107 y tiene una severidad ALTA (CVSS 8.1).

Am I affected by CVE-2026-3892 in Motors Plugin?

Si está utilizando el plugin Motors para WordPress en una versión anterior a 1.4.108, es vulnerable a esta vulnerabilidad. Verifique la versión del plugin en su panel de administración de WordPress.

How do I fix CVE-2026-3892 in Motors Plugin?

La solución es actualizar el plugin Motors a la versión 1.4.108 o superior. Si no puede actualizar inmediatamente, implemente controles de acceso estrictos para limitar los privilegios de los usuarios.

Is CVE-2026-3892 being actively exploited?

Aunque no se ha reportado explotación activa en campañas dirigidas, la facilidad de explotación la convierte en un objetivo potencial. Se recomienda aplicar la mitigación lo antes posible.

Where can I find the official Motors Plugin advisory for CVE-2026-3892?

Consulte el sitio web oficial del plugin Motors o el repositorio de WordPress para obtener la información más reciente sobre esta vulnerabilidad y la actualización de seguridad: [https://wordpress.org/plugins/motors/](https://wordpress.org/plugins/motors/)

¿Tu proyecto está afectado?

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

liveescaneo gratuito

Escanea tu proyecto WordPress ahora — sin cuenta

Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.

Escaneo manualAlertas en Slack/emailMonitoreo continuoReportes white-label

Arrastra y suelta tu archivo de dependencias

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...