Thrive Apprentice: inyección de objetos PHP sin autenticación (CVE-2026-49107)
Se ha encontrado una vulnerabilidad, CVE-2026-49107, con una puntuación CVSS de 9.8 en el plugin de WordPress Thrive Apprentice. Es una inyección de objetos PHP sin autenticación, por lo que no se necesita iniciar sesión para provocarla.
Revisado en Shield: sí
Quién está afectado
Sitios con versiones de Thrive Apprentice anteriores a la 10.8.10.2.
Cómo comprobar
En el administrador de WordPress, abre la página de Plugins y comprueba la versión instalada de Thrive Apprentice. Si es anterior a la 10.8.10.2, el sitio es vulnerable.
Cómo corregirlo
Hay una corrección disponible en la versión 10.8.10.2. Actualiza el plugin a esa versión o a una más reciente, preferiblemente después de hacer una copia de seguridad del sitio.
Qué comprueba Shield gratis, más a fondo en el análisis de pago
Sí, Shield lo comprueba desde fuera: la versión del plugin se lee de las URL de archivos en el código de la página (gratis) o de readme.txt (análisis de pago) y se compara con la base de datos de vulnerabilidades. Si la versión es anterior a la corregida, el informe muestra un hallazgo que enlaza a esta nota; si la versión no es visible, Shield te indica que la revises.
Conviene saber
Los detalles de la explotación y cualquier evidencia de ataques aún no se han divulgado en la fuente (NVD).
