Qué es y cómo funciona
El plugin de WordPress Optimole – Optimize Images | Convert WebP & AVIF | CDN & Lazy Load | Image Optimization es vulnerable a un borrado arbitrario de archivos debido a una validación insuficiente de las rutas en la función replace_urls_in_value. Un atacante sin autenticar puede preparar un payload malicioso en un comentario. Si posteriormente un administrador utiliza la función "Rename" del plugin en cualquier archivo adjunto, se desencadena la eliminación del archivo especificado por el atacante. La explotación exitosa requiere que la librería PEAR's Archive_Tar esté presente en el servidor (algo común en imágenes Docker oficiales de WordPress y muchas distribuciones PHP).
Productos y versiones afectadas
Todas las versiones del plugin Optimole hasta la 4.2.19 inclusive son vulnerables.
Impacto real
El borrado de archivos arbitrarios puede llevar fácilmente a una ejecución remota de código (RCE) si se elimina un archivo crítico como wp-config.php. La vulnerabilidad está clasificada como CWE-502: Deserialization of Untrusted Data y tiene una puntuación CVSS de 7.1. La técnica MITRE ATT&CK asociada es T1190 – Exploit Public-Facing Application. El INCIBE-CERT de España la clasifica con severidad P.
¿Se está explotando?
Actualmente, Shodan no reporta hosts en internet detectados con esta vulnerabilidad, lo que sugiere un volumen bajo de objetivos expuestos directamente. Sin embargo, la explotación requiere una acción específica de un administrador después de que el atacante haya preparado el terreno.
Qué hacer
Los usuarios del plugin deben actualizarlo inmediatamente a la versión posterior a la 4.2.19 tan pronto como el desarrollador publique un parche.
| CVE | CVE-2026-124969 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.1 / 10 |
| CWE | CWE-502 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.