Plataforma
wordpress
Componente
nelio-ab-testing
Corregido en
8.2.8
La vulnerabilidad CVE-2026-32573 es una falla de Inyección de Código (Code Injection) en el plugin Nelio AB Testing para WordPress. Esta falla permite la Ejecución Remota de Código (RCE), lo que significa que un atacante podría ejecutar código malicioso en el servidor. Afecta a las versiones del plugin desde n/a hasta la 8.2.7, y se ha solucionado en la versión 8.2.8.
Un atacante que explote esta vulnerabilidad podría obtener el control total del servidor WordPress. Esto incluye la capacidad de leer, modificar o eliminar archivos, instalar malware, robar datos confidenciales (como información de usuarios, contraseñas, datos de clientes) e incluso utilizar el servidor como punto de partida para atacar otros sistemas en la red. La inyección de código permite la ejecución de comandos del sistema operativo, lo que amplía significativamente el alcance del ataque. La severidad crítica de esta vulnerabilidad la coloca entre las más peligrosas, similar a otras vulnerabilidades de RCE que han afectado a plugins populares de WordPress.
El CVE-2026-32573 fue publicado el 25 de marzo de 2026. No se ha reportado su inclusión en el KEV de CISA al momento de la publicación. No se conocen públicamente pruebas de concepto (PoCs) activas, pero la naturaleza de la vulnerabilidad (RCE) la convierte en un objetivo atractivo para los atacantes. Se recomienda monitorear activamente las fuentes de inteligencia de amenazas en busca de información sobre posibles exploits.
Websites using the Nelio AB Testing WordPress plugin, particularly those running older versions (prior to 8.2.8), are at significant risk. Shared hosting environments are especially vulnerable as they often have limited control over plugin updates and security configurations. Sites with weak WordPress security practices, such as outdated WordPress core or other plugins, are also at increased risk.
• wordpress / composer / npm:
grep -r 'nelio-ab-testing/includes/class-nelio-ab-testing.php' /var/www/html/* | grep -i 'eval(' # Look for eval() calls within the plugin files.• wordpress / composer / npm:
wp plugin list --status=inactive | grep nelio-ab-testing # Check if the plugin is disabled.• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/nelio-ab-testing/ | grep -i 'nelio-ab-testing' # Verify plugin directory exists.disclosure
Estado del Exploit
EPSS
0.06% (18% percentil)
Vector CVSS
La solución principal es actualizar Nelio AB Testing a la versión 8.2.8 o superior. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de mitigación temporales. Estas incluyen la configuración de reglas en un Web Application Firewall (WAF) para bloquear solicitudes maliciosas que intenten explotar la vulnerabilidad. Además, revise y restrinja los permisos de archivos y directorios relacionados con el plugin para limitar el impacto potencial de un ataque. Monitoree los logs del servidor en busca de actividad sospechosa, como intentos de ejecución de comandos no autorizados.
Actualizar a la versión 8.2.8, o una versión parcheada más reciente
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-32573 is a critical Remote Code Execution vulnerability in the Nelio AB Testing WordPress plugin, allowing attackers to execute arbitrary code.
You are affected if you are using Nelio AB Testing versions prior to 8.2.8. Check your plugin version and update immediately.
Upgrade the Nelio AB Testing plugin to version 8.2.8 or later. If immediate upgrade is not possible, disable the plugin temporarily.
While active exploitation is not confirmed, the vulnerability's severity and public disclosure suggest a high likelihood of exploitation.
Refer to the Nelio Software website and WordPress plugin repository for the official advisory and update information.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.