Streamit: ejecución remota de código sin autenticación (CVE-2026-13423)
Se publicó la vulnerabilidad CVE-2026-13423 (CVSS 9.8) en el tema Streamit para WordPress. Una de sus rutas AJAX no verifica autorización ni nonce y llama a una función PHP con argumentos definidos por el atacante.
Revisado en Shield: no
Quién está afectado
Afecta a los sitios con el tema Streamit anterior a la versión 4.5.2. Un atacante sin autenticación puede, por ejemplo, crear una cuenta de administrador y lograr ejecución remota de código (RCE).
Cómo comprobar
En el panel de WordPress ve a Apariencia → Temas y revisa la versión de Streamit. Si es inferior a 4.5.2, el sitio es vulnerable.
Cómo corregirlo
Hay una corrección: actualiza el tema Streamit a la versión 4.5.2 o posterior. Tras actualizar, revisa la lista de administradores por si hay cuentas que no reconoces.
Qué comprueba Shield no se comprueba
Comprobado por Shield: no. Normalmente esto no se ve desde fuera o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
Aún no se ha revelado si la falla se explota en ataques reales. Fuente: NVD.
