Qué es y cómo funciona
El plugin WP Ultimate CSV Importer para WordPress, en versiones anteriores a la 9.2, no restringe el nombre de archivo destino ni la extensión, ni valida el tipo de contenido al importar medios remotos. Esto permite que un Administrador de un subsitio Multisite (sin ser Administrador de Red y sin permisos para instalar el plugin o editar archivos) pueda escribir y ejecutar PHP arbitrario en el contexto compartido de WordPress.
Productos y versiones afectadas
WP Ultimate CSV Importer para WordPress, todas las versiones anteriores a la 9.2.
Impacto y explotación
INCIBE-CERT (España) clasifica la severidad como P (crítica). Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos visibles.
| CVE | CVE-2026-125912 |
|---|---|
| Severidad | HIGH |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).