Qué es y cómo funciona la falla
El plugin Streamit para WordPress, en versiones anteriores a la 1.3.10, contiene una ruta AJAX accesible sin autenticación que no verifica permisos ni tokens de seguridad (nonce). Esta falla permite que un atacante remoto especifique qué función PHP ejecutar y con qué argumentos, otorgándole un control total sobre el sitio.
Productos y versiones afectadas
Están afectadas todas las versiones del plugin Streamit para WordPress anteriores a la 1.3.10. Los usuarios deben verificar y actualizar urgentemente.
Impacto real
Un atacante puede explotar esta vulnerabilidad para crear cuentas de administrador, modificar contenido, robar datos o ejecutar código arbitrario en el servidor, lo que equivale a un compromiso total del sitio web (RCE y escalada de privilegios).
¿Se está explotando?
Según datos de Shodan, actualmente hay 0 hosts indexados detectados con esta vulnerabilidad, lo que sugiere un volumen bajo de objetivos expuestos directamente en internet. Sin embargo, el INCIBE-CERT de España ha clasificado la severidad de este CVE como P (Prioritaria), indicando un alto riesgo potencial.
Qué hacer
La única mitigación efectiva es actualizar el plugin Streamit a la versión 1.3.10 o superior de inmediato. Se recomienda revisar los sitios web en busca de actividad sospechosa, como la creación de nuevos usuarios administrativos.
| CVE | CVE-2026-126119 |
|---|---|
| Severidad | HIGH |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).