FunnelKit Automations: deserialización de datos no confiables (CVE-2026-39738)
Se encontró una vulnerabilidad de deserialización de datos no confiables que permite inyección de objetos (PHP Object Injection) en el plugin de WordPress FunnelKit Automations (wp-marketing-automations). Su puntuación CVSS es 9.8.
Revisado en Shield: sí
Quién está afectado
Están afectadas las versiones de FunnelKit Automations hasta la 3.8.6.1 incluida. Esto aplica a los sitios WordPress que tengan el plugin instalado.
Cómo comprobar
En el panel de WordPress, abre la sección Plugins y busca FunnelKit Automations. Si la versión instalada es la 3.8.6.1 o inferior, el sitio entra en la descripción de la vulnerabilidad.
Cómo corregirlo
La descripción no indica una versión corregida. Está atento a las actualizaciones del desarrollador y del directorio de WordPress, y aplica el parche en cuanto se publique.
Qué comprueba Shield gratis
Shield detecta FunnelKit Automations por las direcciones de sus archivos en el código de la página, lee la versión del readme.txt del plugin (la línea Stable tag) o del ?ver= de sus archivos y la compara con la última versión afectada 3.8.6.1. Todavía no se ha publicado una versión corregida, así que el hallazgo aparece como probable. Gratis, en cada análisis. Si el plugin no deja rastros en las páginas, no se ve desde fuera: revisa la versión en tu panel de administración.
Conviene saber
Aún no se divulgan la versión corregida ni si se explota activamente. Fuente: NVD, CVE-2026-39738.
