¿Qué es la vulnerabilidad?
Se ha identificado una vulnerabilidad de falta de autorización (CWE-862) en el plugin de WordPress Kit, anteriormente conocido como ConvertKit. Esta falla permite a un atacante explotar niveles de control de acceso configurados de forma incorrecta, potencialmente accediendo a funcionalidades o datos restringidos.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones del plugin Kit (ConvertKit) hasta la versión 3.5.0 inclusive.
Impacto y severidad
La vulnerabilidad tiene una puntuación CVSS de 5.3 (MEDIUM). En el momento de este reporte, no está incluida en el catálogo de vulnerabilidades conocidas explotadas (KEV) de CISA.
¿Qué hacer?
Los administradores de sitios web que utilicen este plugin deben actualizar inmediatamente a una versión posterior a la 3.5.0, una vez que el proveedor publique un parche de seguridad.
| CVE | CVE-2026-125439 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 5.3 / 10 |
| CWE | CWE-862 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
| PoC público | github.com |