Broken Link Checker: ejecución de código sin autenticación (CVE-2026-18937)
Se publicó la vulnerabilidad CVE-2026-18937 (CVSS 9) en el plugin Broken Link Checker de WordPress. El plugin no limita qué variables de consulta acepta del usuario, por lo que un usuario no autenticado puede sobrescribir variables globales de PHP.
Revisado en Shield: no
Quién está afectado
Broken Link Checker anterior a la versión 2.4.12 en sitios con enlaces permanentes simples (plain). Es posible ejecutar código arbitrario en el servidor cuando hay un tema clásico (no de bloques) activo.
Cómo comprobar
En el administrador de WordPress abre Plugins y revisa la versión de Broken Link Checker. Luego ve a Ajustes - Enlaces permanentes para ver si está seleccionado el formato simple, y confirma si usas un tema clásico.
Cómo corregirlo
Hay parche: actualiza el plugin a la versión 2.4.12 o posterior.
Qué comprueba Shield no se comprueba
Comprobado por Shield: no. Normalmente esto no se ve desde fuera o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
Aún no se ha revelado si la vulnerabilidad se explota en ataques reales. Fuente: la entrada de NVD para CVE-2026-18937.
