WooCommerce Product Filters: inyección de objetos PHP sin autenticación (CVE-2026-40725)
NVD ha publicado CVE-2026-40725, una vulnerabilidad de inyección de objetos PHP en el plugin de WordPress WooCommerce Product Filters. Se puede explotar sin autenticación y tiene una puntuación CVSS de 9.8.
Revisado en Shield: sí
Quién está afectado
Sitios WordPress que usan el plugin WooCommerce Product Filters en versiones anteriores a la 2.0.6.
Cómo comprobar
En el administrador de WordPress, abre la página Plugins y revisa la versión instalada de WooCommerce Product Filters. Si es anterior a la 2.0.6, el sitio está dentro del rango afectado.
Cómo corregirlo
Según la redacción del registro ("< 2.0.6"), la versión 2.0.6 es la corregida. Actualiza el plugin a la 2.0.6 o posterior; si no puedes actualizar, desactívalo por ahora.
Qué comprueba Shield gratis, más a fondo en el análisis de pago
Sí, Shield lo comprueba desde fuera: la versión del plugin se lee de las URL de archivos en el código de la página (gratis) o de readme.txt (análisis de pago) y se compara con la base de datos de vulnerabilidades. Si la versión es anterior a la corregida, el informe muestra un hallazgo que enlaza a esta nota; si la versión no es visible, Shield te indica que la revises.
Conviene saber
Los detalles de la explotación y si se están produciendo ataques aún no se han divulgado; fuente: NVD (CVE-2026-40725).
