Pie Register Premium: carga de archivos sin restricciones y sin autenticación (CVE-2026-84999)
Se publicó una vulnerabilidad, CVE-2026-84999 (CVSS 9.8), para el plugin Pie Register Premium de WordPress. La función piereg_file_upload no comprueba el resultado de la validación del tipo de archivo, y su manejador AJAX no tiene nonce ni verificación de permisos.
Revisado en Shield: sí
Quién está afectado
Todas las versiones de Pie Register Premium hasta la 3.8.4.0 inclusive están afectadas. Un atacante sin autenticación puede subir archivos peligrosos, como scripts PHP, lo que puede derivar en ejecución remota de código, ya que el servidor devuelve la ruta del archivo subido.
Cómo comprobar
En el administrador de WordPress, abre la página de Plugins y comprueba si Pie Register Premium está instalado y qué versión tiene. La versión 3.8.4.0 o inferior está afectada.
Cómo corregirlo
La fuente aún no indica una versión corregida. Sigue los anuncios del proveedor y actualiza en cuanto se publique un parche. Mientras tanto, considera desactivar el plugin temporalmente.
Qué comprueba Shield gratis
Shield detecta Pie Register Premium por las direcciones de sus archivos en el código de la página, lee la versión del readme.txt del plugin (la línea Stable tag) o del ?ver= de sus archivos y la compara con la versión corregida 3.8.4.1. Si tu versión es menor, el informe mostrará un hallazgo con enlace al CVE. Gratis, en cada análisis. Si el plugin no deja rastros en las páginas, no se ve desde fuera: revisa la versión en tu panel de administración.
Conviene saber
Aún no se divulgan la versión corregida ni la explotación en el mundo real. Fuente: NVD (CVE-2026-84999).
