Esta página aún no ha sido traducida a tu idioma. Mostrando contenido en inglés mientras trabajamos en ello.

💡 Keep dependencies up to date — most exploits target known, patchable vulnerabilities.

MEDIUMCVE-2026-3829CVSS 5.4

CVE-2026-3829: Data Modification in WP Encryption Plugin

Plataforma

wordpress

Componente

wp-letsencrypt-ssl

Corregido en

7.8.5.11

Traduciendo a tu idioma…

CVE-2026-3829 affects the WP Encryption – One Click Free SSL Certificate & SSL / HTTPS Redirect, Security & SSL Scan plugin for WordPress. This vulnerability allows authenticated attackers, even those with subscriber-level access, to manipulate SSL configurations and plan selections within the plugin. The vulnerability impacts versions 0.0.0 through 7.8.5.10, and a patch is available in version 7.8.5.11.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

Impacto y Escenarios de Ataquetraduciendo…

An attacker exploiting CVE-2026-3829 could significantly compromise the security posture of a WordPress site. By resetting the SSL setup state, they can effectively bypass SSL/HTTPS enforcement, potentially exposing sensitive data transmitted over the site. Furthermore, the ability to modify plan selection options could lead to unauthorized access to premium features or services, or even fraudulent charges. This vulnerability essentially allows an attacker to impersonate a legitimate user and manipulate the site's security settings, creating a significant risk of data breaches and unauthorized access. The blast radius extends to any data processed or transmitted through the affected WordPress site.

Contexto de Explotacióntraduciendo…

CVE-2026-3829 was published on May 14, 2026. Its severity is currently assessed as medium. No public exploits or proof-of-concept code have been identified at the time of writing. The vulnerability is not currently listed on KEV or EPSS, suggesting a low probability of active exploitation. Monitor security advisories and threat intelligence feeds for any updates regarding exploitation attempts.

Inteligencia de Amenazas

Estado del Exploit

Prueba de ConceptoDesconocido
CISA KEVNO
Exposición en InternetAlta

CISA SSVC

Explotaciónnone
Automatizableno
Impacto Técnicopartial

Vector CVSS

INTELIGENCIA DE AMENAZAS· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L5.4MEDIUMAttack VectorNetworkCómo el atacante alcanza el objetivoAttack ComplexityLowCondiciones necesarias para explotarPrivileges RequiredLowNivel de autenticación requeridoUser InteractionNoneSi la víctima debe realizar una acciónScopeUnchangedImpacto más allá del componente afectadoConfidentialityNoneRiesgo de exposición de datos sensiblesIntegrityLowRiesgo de modificación no autorizada de datosAvailabilityLowRiesgo de interrupción del servicionextguardhq.com · Puntuación Base CVSS v3.1
¿Qué significan estas métricas?
Attack Vector
Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
Attack Complexity
Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
Privileges Required
Bajo — cualquier cuenta de usuario válida es suficiente.
User Interaction
Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
Scope
Sin cambio — el impacto se limita al componente vulnerable.
Confidentiality
Ninguno — sin impacto en confidencialidad.
Integrity
Bajo — el atacante puede modificar algunos datos con alcance limitado.
Availability
Bajo — denegación de servicio parcial o intermitente.

Software Afectado

Componentewp-letsencrypt-ssl
Proveedorwordfence
Versión mínima0.0.0
Versión máxima7.8.5.10
Corregido en7.8.5.11

Clasificación de Debilidad (CWE)

Cronología

  1. Reservado
  2. Publicada

Mitigación y Workaroundstraduciendo…

The primary mitigation for CVE-2026-3829 is to immediately upgrade the WP Encryption plugin to version 7.8.5.11 or later. If upgrading is not immediately feasible due to compatibility issues or breaking changes, consider temporarily disabling the plugin to prevent further exploitation. While a direct workaround isn't available, restricting user roles and permissions to limit access to the plugin's configuration settings can reduce the attack surface. Regularly review user roles and ensure that only authorized personnel have access to sensitive plugin settings. After upgrading, verify the SSL configuration and plan selections to ensure they are accurate and haven't been tampered with.

Cómo corregirlo

Actualizar a la versión 7.8.5.11, o una versión parcheada más reciente

Preguntas frecuentestraduciendo…

What is CVE-2026-3829 — Data Modification in WP Encryption Plugin?

CVE-2026-3829 is a medium severity vulnerability in the WP Encryption WordPress plugin allowing authenticated subscribers to manipulate SSL configurations and plan selections, potentially bypassing SSL enforcement and compromising data integrity.

Am I affected by CVE-2026-3829 in WP Encryption Plugin?

You are affected if you are using the WP Encryption plugin in WordPress versions 0.0.0 through 7.8.5.10. Check your plugin version immediately and upgrade if necessary.

How do I fix CVE-2026-3829 in WP Encryption Plugin?

Upgrade the WP Encryption plugin to version 7.8.5.11 or later to remediate the vulnerability. If upgrading is not possible, temporarily disable the plugin.

Is CVE-2026-3829 being actively exploited?

Currently, there are no reports of active exploitation or publicly available proof-of-concept code for CVE-2026-3829, but continuous monitoring is recommended.

Where can I find the official WP Encryption advisory for CVE-2026-3829?

Refer to the official WP Encryption plugin website and WordPress security announcements for the latest advisory and updates regarding CVE-2026-3829.

¿Tu proyecto está afectado?

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

liveescaneo gratuito

Escanea tu proyecto WordPress ahora — sin cuenta

Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.

Escaneo manualAlertas en Slack/emailMonitoreo continuoReportes white-label

Arrastra y suelta tu archivo de dependencias

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...