HIGHCVE-2026-6506CVSS 8.8

CVE-2026-6506: Privilege Escalation in InfusedWoo Pro

Plataforma

wordpress

Componente

infusedwooPRO

Corregido en

5.1.3

La vulnerabilidad CVE-2026-6506 afecta al plugin InfusedWoo Pro para WordPress, permitiendo una elevación de privilegios. Debido a la falta de verificaciones de autorización y capacidades en la función infusedwoogdprupddata(), un atacante autenticado con privilegios de suscriptor o superiores puede modificar su propio rol a Administrador. Esta vulnerabilidad afecta a todas las versiones hasta la 5.1.2, y se recomienda actualizar a la versión 5.1.3 para solucionar el problema.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

Impacto y Escenarios de Ataque

Un atacante que explote esta vulnerabilidad puede obtener privilegios de administrador en un sitio WordPress que utiliza el plugin InfusedWoo Pro. Esto le permitiría controlar completamente el sitio, incluyendo la modificación de contenido, la instalación de malware, el acceso a datos sensibles y la manipulación de la configuración del sitio. La falta de validación en la actualización de las capacidades del usuario abre una puerta directa a la escalada de privilegios, permitiendo a un usuario con acceso limitado obtener control administrativo. Este tipo de vulnerabilidad es particularmente peligrosa porque puede ser explotada sin necesidad de conocimientos técnicos avanzados, simplemente requiriendo un usuario autenticado con un rol inferior al de administrador.

Contexto de Explotación

La vulnerabilidad CVE-2026-6506 fue publicada el 14 de mayo de 2026. La probabilidad de explotación se considera media debido a la relativa facilidad de explotación y la popularidad del plugin InfusedWoo Pro. No se han reportado campañas de explotación activas a la fecha, pero la disponibilidad de la vulnerabilidad en un plugin ampliamente utilizado aumenta el riesgo. Se recomienda monitorear los registros del servidor y la base de datos en busca de actividad sospechosa.

Inteligencia de Amenazas

Estado del Exploit

Prueba de ConceptoDesconocido
CISA KEVNO
Exposición en InternetAlta
Informes2 informes de amenaza

CISA SSVC

Explotaciónnone
Automatizableno
Impacto Técnicototal

Vector CVSS

INTELIGENCIA DE AMENAZAS· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H8.8HIGHAttack VectorNetworkCómo el atacante alcanza el objetivoAttack ComplexityLowCondiciones necesarias para explotarPrivileges RequiredLowNivel de autenticación requeridoUser InteractionNoneSi la víctima debe realizar una acciónScopeUnchangedImpacto más allá del componente afectadoConfidentialityHighRiesgo de exposición de datos sensiblesIntegrityHighRiesgo de modificación no autorizada de datosAvailabilityHighRiesgo de interrupción del servicionextguardhq.com · Puntuación Base CVSS v3.1
¿Qué significan estas métricas?
Attack Vector
Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
Attack Complexity
Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
Privileges Required
Bajo — cualquier cuenta de usuario válida es suficiente.
User Interaction
Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
Scope
Sin cambio — el impacto se limita al componente vulnerable.
Confidentiality
Alto — pérdida total de confidencialidad. El atacante puede leer todos los datos.
Integrity
Alto — el atacante puede escribir, modificar o eliminar cualquier dato.
Availability
Alto — caída completa o agotamiento de recursos. Denegación de servicio total.

Software Afectado

ComponenteinfusedwooPRO
Proveedorwordfence
Versión mínima0.0.0
Versión máxima5.1.2
Corregido en5.1.3

Clasificación de Debilidad (CWE)

Cronología

  1. Reservado
  2. Publicada

Mitigación y Workarounds

La mitigación principal para CVE-2026-6506 es actualizar el plugin InfusedWoo Pro a la versión 5.1.3 o superior. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa del sitio antes de aplicar la actualización. Como medida temporal, se podría implementar una regla en un Web Application Firewall (WAF) para bloquear solicitudes que intenten modificar las capacidades del usuario directamente. Además, revise los permisos de usuario existentes en el sitio WordPress para identificar y corregir cualquier configuración incorrecta que pueda haber sido aprovechada por esta vulnerabilidad. Después de la actualización, confirme que los usuarios no pueden modificar sus propios roles a Administrador a través de la interfaz de usuario o mediante solicitudes directas a la base de datos.

Cómo corregirlo

Actualizar a la versión 5.1.3, o una versión parcheada más reciente

Preguntas frecuentes

What is CVE-2026-6506 — Privilege Escalation in InfusedWoo Pro?

CVE-2026-6506 es una vulnerabilidad de elevación de privilegios en el plugin InfusedWoo Pro para WordPress que permite a usuarios con acceso de suscriptor o superior obtener privilegios de administrador.

Am I affected by CVE-2026-6506 in InfusedWoo Pro?

Si está utilizando el plugin InfusedWoo Pro en versiones anteriores a la 5.1.3, es vulnerable a esta vulnerabilidad.

How do I fix CVE-2026-6506 in InfusedWoo Pro?

Actualice el plugin InfusedWoo Pro a la versión 5.1.3 o superior para solucionar la vulnerabilidad.

Is CVE-2026-6506 being actively exploited?

No se han reportado campañas de explotación activas a la fecha, pero la vulnerabilidad es de alta gravedad y se recomienda tomar medidas preventivas.

Where can I find the official InfusedWoo Pro advisory for CVE-2026-6506?

Consulte el sitio web del desarrollador de InfusedWoo Pro o el repositorio de WordPress para obtener la información más reciente sobre la vulnerabilidad y la actualización.

¿Tu proyecto está afectado?

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

liveescaneo gratuito

Escanea tu proyecto WordPress ahora — sin cuenta

Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.

Escaneo manualAlertas en Slack/emailMonitoreo continuoReportes white-label

Arrastra y suelta tu archivo de dependencias

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...