CVSS 10.0CVSS 10.0 · CRITICAL
CVE-2026-16940Eliminación de archivos en Custom Fields de WordPress
The Custom Fields WordPress plugin before 1.5.1 does not validate a user-supplied file path before deletion, allowing unauthenticated users to delete arbitrary files on the server (such as wp-config.php), which can lead to a full site takeover.
Ver en NVDAnálisis
El plugin Custom Fields para WordPress permite a atacantes no autenticados eliminar archivos arbitrarios del servidor. Al borrar archivos críticos como wp-config.php, un atacante puede reiniciar el proceso de instalación y tomar control total del sitio.
Roles relevantes
PhpBackendCyberSecurity
Severidad
Puntaje: 10.0(CRITICAL)
Vector:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:HAV: NETWORK
AC: LOW
PR: NONE
UI: NONE
S: CHANGED
C: NONE
I: HIGH
A: HIGH
Tipo de falla (CWE):
CWE-22EPSS
Probabilidad de explotación (próx. 30 días): 0.0017 (0.2%)
Percentil: 6.3%
EPSS: 2026-08-06
Descripción técnica
The Custom Fields WordPress plugin before 1.5.1 does not validate a user-supplied file path before deletion, allowing unauthenticated users to delete arbitrary files on the server (such as wp-config.php), which can lead to a full site takeover.
Publicada: 5/8/2026, 7:16:36
Última modificación: 6/8/2026, 16:16:37