Plataforma
wordpress
Componente
easy-php-settings
Corregido en
1.0.5
La vulnerabilidad CVE-2026-3352 afecta al plugin Easy PHP Settings para WordPress, permitiendo la inyección de código PHP. Esta falla se debe a una validación inadecuada de las configuraciones wpmemorylimit y wpmaxmemory_limit antes de escribirlas en el archivo wp-config.php. La vulnerabilidad impacta a las versiones 1.0.0 hasta la 1.0.4, y se corrige en la versión 1.0.5. Se recomienda actualizar el plugin inmediatamente.
Un atacante con privilegios de administrador en un sitio WordPress que utiliza la versión vulnerable de Easy PHP Settings puede explotar esta vulnerabilidad para inyectar código PHP malicioso en el archivo wp-config.php. Esto le permitiría ejecutar código arbitrario en el servidor, comprometiendo la integridad y confidencialidad del sitio web y sus datos. El atacante podría, por ejemplo, robar información sensible almacenada en la base de datos, modificar el contenido del sitio web, o incluso tomar el control completo del servidor. La inyección de código PHP es una vulnerabilidad crítica que puede tener consecuencias devastadoras si no se aborda adecuadamente.
La vulnerabilidad CVE-2026-3352 fue publicada el 7 de marzo de 2026. Actualmente no se dispone de información sobre explotación activa en la naturaleza. Se recomienda monitorear las fuentes de inteligencia de amenazas para detectar posibles campañas de explotación. La vulnerabilidad se encuentra en el catálogo KEV de CISA, lo que indica una probabilidad de explotación moderada. No se han reportado públicamente pruebas de concepto (PoCs) para esta vulnerabilidad.
WordPress websites utilizing the Easy PHP Settings plugin, particularly those with administrator accounts that have not been secured with strong passwords or multi-factor authentication, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources are also at increased risk, as a compromise of one site could potentially impact others.
• wordpress / composer / npm:
grep -r "define('wp_memory_limit'," /var/www/html/wp-config.php• wordpress / composer / npm:
wp plugin list --status=active | grep "Easy PHP Settings"• wordpress / composer / npm:
wp plugin update --all• generic web:
Check wp-config.php for unexpected PHP code, particularly around memory limit settings.
disclosure
Estado del Exploit
EPSS
0.06% (18% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2026-3352 es actualizar el plugin Easy PHP Settings a la versión 1.0.5 o superior. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa del sitio web antes de actualizar. Como medida temporal, se puede implementar una regla en un firewall de aplicaciones web (WAF) para bloquear solicitudes que contengan caracteres sospechosos en los parámetros relacionados con la configuración de memoria. Además, revise los archivos wp-config.php en busca de modificaciones no autorizadas. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta revisando los logs del servidor y verificando la integridad de los archivos del plugin.
Actualizar a la versión 1.0.5, o una versión parcheada más reciente
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-3352 is a vulnerability in the Easy PHP Settings WordPress plugin allowing authenticated administrators to inject PHP code due to insufficient input validation. It has a HIGH severity rating (CVSS 7.2).
You are affected if you are using Easy PHP Settings plugin versions 1.0.0 through 1.0.4 on your WordPress website and have administrator-level access.
Upgrade the Easy PHP Settings plugin to version 1.0.5 or later to resolve the vulnerability. Restrict administrator access if immediate upgrade is not possible.
As of now, there are no known public exploits or active campaigns targeting CVE-2026-3352, but prompt remediation is still recommended.
Refer to the plugin developer's website or the WordPress plugin repository for the latest advisory and update information regarding CVE-2026-3352.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.