HIGHCVE-2026-1560CVSS 8.8

Custom Block Builder – Lazy Blocks <= 4.2.0 - Ejecución Remota de Código Autenticada (Colaborador+)

Plataforma

wordpress

Componente

lazy-blocks

Corregido en

4.2.1

AI Confidence: highNVDEPSS 0.1%Revisado: may 2026

El plugin Custom Block Builder – Lazy Blocks para WordPress presenta una vulnerabilidad de Ejecución Remota de Código (RCE). Esta falla permite a atacantes autenticados, con privilegios de Contribuidor o superiores, ejecutar código malicioso en el servidor. La vulnerabilidad afecta a todas las versiones desde 0.0.0 hasta la 4.2.0, y ha sido solucionada en la versión 4.2.1.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

Impacto y Escenarios de Ataque

Un atacante que explote esta vulnerabilidad podría obtener control total sobre el servidor WordPress. Esto implica la capacidad de modificar archivos, instalar malware, robar datos sensibles (como credenciales de usuarios, información de clientes, o datos de bases de datos) e incluso tomar el sitio web completamente fuera de servicio. La ejecución de código arbitrario permite una amplia gama de ataques, desde la inyección de código malicioso hasta la exfiltración de datos confidenciales. La autenticación como Contribuidor o superior reduce la barrera de entrada para los atacantes, ampliando el potencial de impacto.

Contexto de Explotación

Esta vulnerabilidad fue publicada el 11 de febrero de 2026. No se ha reportado su inclusión en el KEV de CISA al momento de la redacción. No se han identificado públicamente pruebas de concepto (PoC) activas, pero la naturaleza de la vulnerabilidad (RCE) la convierte en un objetivo atractivo para los atacantes. Se recomienda monitorear activamente los sistemas afectados en busca de signos de compromiso.

Quién Está en Riesgotraduciendo…

WordPress websites utilizing the Custom Block Builder – Lazy Blocks plugin, particularly those with multiple contributors or users with elevated privileges, are at significant risk. Shared hosting environments where plugin updates are not consistently managed are also particularly vulnerable.

Pasos de Deteccióntraduciendo…

• wordpress / composer / npm:

grep -r 'LazyBlocks_Blocks' /var/www/html/wp-content/plugins/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep 'Custom Block Builder – Lazy Blocks'

• wordpress / composer / npm:

wp plugin list --status=active | grep 'Custom Block Builder – Lazy Blocks' && wp plugin version 'Custom Block Builder – Lazy Blocks'

Cronología del Ataque

  1. Disclosure

    disclosure

Inteligencia de Amenazas

Estado del Exploit

Prueba de ConceptoDesconocido
CISA KEVNO
Exposición en InternetAlta

EPSS

0.13% (32% percentil)

CISA SSVC

Explotaciónnone
Automatizableno
Impacto Técnicototal

Vector CVSS

INTELIGENCIA DE AMENAZAS· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H8.8HIGHAttack VectorNetworkCómo el atacante alcanza el objetivoAttack ComplexityLowCondiciones necesarias para explotarPrivileges RequiredLowNivel de autenticación requeridoUser InteractionNoneSi la víctima debe realizar una acciónScopeUnchangedImpacto más allá del componente afectadoConfidentialityHighRiesgo de exposición de datos sensiblesIntegrityHighRiesgo de modificación no autorizada de datosAvailabilityHighRiesgo de interrupción del servicionextguardhq.com · Puntuación Base CVSS v3.1
¿Qué significan estas métricas?
Attack Vector
Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
Attack Complexity
Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
Privileges Required
Bajo — cualquier cuenta de usuario válida es suficiente.
User Interaction
Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
Scope
Sin cambio — el impacto se limita al componente vulnerable.
Confidentiality
Alto — pérdida total de confidencialidad. El atacante puede leer todos los datos.
Integrity
Alto — el atacante puede escribir, modificar o eliminar cualquier dato.
Availability
Alto — caída completa o agotamiento de recursos. Denegación de servicio total.

Software Afectado

Componentelazy-blocks
Proveedorwordfence
Rango afectadoCorregido en
0 – 4.2.04.2.1

Información del paquete

Instalaciones activas
20KNicho
Valoración del plugin
4.9
Requiere WordPress
6.2+
Compatible hasta
7.0
Requiere PHP
8.0+

Clasificación de Debilidad (CWE)

Cronología

  1. Reservado
  2. Publicada
  3. Modificada
  4. EPSS actualizado
Parcheado -7 días tras la divulgación

Mitigación y Workarounds

La mitigación principal es actualizar el plugin Custom Block Builder – Lazy Blocks a la versión 4.2.1 o superior. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa del sitio web antes de proceder. Como medida temporal, se puede restringir el acceso a las funciones vulnerables del plugin mediante reglas de firewall de aplicaciones web (WAF) o proxies inversos, bloqueando solicitudes sospechosas. Verifique después de la actualización que el plugin se ejecuta correctamente y que no se han introducido nuevos problemas.

Cómo corregirlo

Actualizar a la versión 4.2.1, o una versión parcheada más reciente

Boletín de seguridad CVE

Análisis de vulnerabilidades y alertas críticas directamente en tu correo.

Preguntas frecuentestraduciendo…

What is CVE-2026-1560 — RCE in Custom Block Builder – Lazy Blocks?

CVE-2026-1560 is a Remote Code Execution vulnerability affecting the Custom Block Builder – Lazy Blocks WordPress plugin, allowing authenticated attackers to execute code on the server.

Am I affected by CVE-2026-1560 in Custom Block Builder – Lazy Blocks?

You are affected if you are using Custom Block Builder – Lazy Blocks versions 0.0.0 through 4.2.0. Upgrade immediately.

How do I fix CVE-2026-1560 in Custom Block Builder – Lazy Blocks?

Upgrade the plugin to version 4.2.1 or later. As a temporary measure, implement WAF rules and code review.

Is CVE-2026-1560 being actively exploited?

While no active exploitation has been confirmed, the vulnerability's nature makes it likely that exploitation attempts will occur.

Where can I find the official Custom Block Builder advisory for CVE-2026-1560?

Refer to the plugin developer's website or WordPress plugin repository for the latest advisory and update information.

¿Tu proyecto está afectado?

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.