AskAny: subida de archivos PHP sin autenticación (CVE-2026-121497)
Se publicó la vulnerabilidad CVE-2026-121497 (CVSS 9.8) en el plugin de WordPress AskAny. El plugin no valida la extensión ni el contenido de los archivos adjuntos a los mensajes del chat y confía en el tipo de archivo que envía el navegador.
Revisado en Shield: no
Quién está afectado
Sitios con AskAny en versiones anteriores a 2.2.0 y con los adjuntos de visitantes activados. No se necesita iniciar sesión: cualquier visitante puede subir un archivo PHP y ejecutar código arbitrario.
Cómo comprobar
En el panel de WordPress abre Plugins y revisa la versión de AskAny. Luego revisa en los ajustes del plugin si los adjuntos de visitantes están activados. También conviene buscar archivos PHP inesperados en el directorio de uploads.
Cómo corregirlo
Hay una corrección disponible: actualiza AskAny a la versión 2.2.0 o posterior. Si no puedes actualizar de inmediato, desactiva los adjuntos de visitantes en los ajustes del plugin.
Qué comprueba Shield no se comprueba
Comprobado por Shield: no. Normalmente esto no se ve desde fuera o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
Aún no se ha revelado si la vulnerabilidad se explota en ataques reales. Fuente: entrada de NVD para CVE-2026-121497.
