Carga de archivos arbitraria crítica en la sección de carrera//Publicado el 2026-05-14//CVE-2026-6271

EQUIPO DE SEGURIDAD DE WP-FIREWALL

WordPress Career Section plugin vulnerability

Nombre del complemento Plugin de sección de carrera de WordPress
Tipo de vulnerabilidad Carga de archivos arbitrarios
Número CVE CVE-2026-6271
Urgencia Crítico
Fecha de publicación de CVE 2026-05-14
URL de origen CVE-2026-6271

Carga de archivos arbitrarios no autenticada en el plugin “Sección de Carrera” (<=1.7) — Lo que los propietarios de sitios de WordPress deben hacer ahora

Un aviso de seguridad de WordPress y una guía de respuesta paso a paso de WP‑Firewall. Aprende qué significa esta vulnerabilidad de carga de archivos arbitrarios de alta gravedad (CVE‑2026‑6271), cómo los atacantes pueden explotarla, cómo detectar compromisos y mitigaciones prácticas — incluyendo cómo WP‑Firewall puede protegerte de inmediato.

Fecha: 2026-05-15
Autor: Equipo de seguridad de firewall WP
Etiquetas: WordPress, seguridad, vulnerabilidad, WAF, plugin, carga-de-archivos-arbitrarios

Resumen: Una vulnerabilidad de carga de archivos arbitrarios de alta gravedad (CVE‑2026‑6271) afecta al plugin de WordPress “Sección de Carrera” en versiones <= 1.7. La falla permite a los atacantes no autenticados cargar archivos arbitrarios en sitios vulnerables. Este aviso explica el riesgo, la detección, la contención, la remediación y el endurecimiento práctico que puedes implementar de inmediato — incluyendo parches virtuales con WP‑Firewall si no puedes actualizar de inmediato.

Resumen (para propietarios de sitios ocupados)

  • Vulnerabilidad: Carga de archivos arbitrarios no autenticada en el plugin “Sección de Carrera” versiones <= 1.7 (CVE‑2026‑6271). Corregido en la versión 1.8.
  • Severidad: Crítica — Puntuación CVSS reportada como 10.0. Las cargas no autenticadas pueden llevar a la ejecución remota de código a través de shells PHP accesibles por web y compromisos masivos.
  • Acción inmediata: Actualiza el plugin a la versión 1.8 o posterior. Si no puedes actualizar de inmediato, aplica los pasos de contención a continuación.
  • Si sospechas de un compromiso: Aísla el sitio, escanea las cargas en busca de PHP y shells web, restaura desde una copia de seguridad limpia, rota credenciales y secretos, y realiza una auditoría de seguridad completa.
  • Usuarios de WP‑Firewall: Parches virtuales gestionados y reglas WAF están disponibles para bloquear intentos de explotación al instante.

Por qué esta vulnerabilidad es tan peligrosa

Una vulnerabilidad de carga de archivos arbitrarios significa que un atacante puede transferir archivos a tu servidor web a través del manejador de carga de un plugin. Cuando la carga no está autenticada — lo que significa que no se requieren verificaciones de inicio de sesión o capacidades — el atacante solo necesita encontrar el punto final vulnerable y enviar solicitudes. El resultado más severo es que un atacante suba un archivo PHP (un shell web) y lo ejecute a través del servidor web. Esto puede llevar rápidamente a:

  • Ejecución remota de código (RCE) en el sitio
  • Instalación de puertas traseras persistentes
  • Robo de bases de datos y exfiltración de credenciales
  • Desfiguración masiva y spam SEO
  • Uso del sitio como parte de una botnet o red de distribución de malware
  • Movimiento lateral a otros sitios o infraestructura gestionada bajo la misma cuenta/anfitrión

Debido a que esta falla no está autenticada y afecta a un plugin estándar, es trivialmente automatizable — los atacantes pueden escanear miles de sitios de WordPress y explotarlos en masa. Por eso la vulnerabilidad ha sido categorizada como de riesgo extremadamente alto.

Hechos conocidos sobre el aviso (conciso)

  • Plugin afectado: “Sección de Carrera” (plugin de WordPress)
  • Versiones vulnerables: <= 1.7
  • Corregido en: 1.8
  • CVE: CVE‑2026‑6271
  • Acceso requerido: Ninguno (No autenticado)
  • Impacto principal: Carga de archivos arbitraria → posible RCE e instalación de puerta trasera
  • Fecha de divulgación pública: 14 de mayo de 2026

Nota: Este aviso se basa en una divulgación de seguridad pública. Si su sitio utiliza este plugin, trátelo como alta prioridad.

No entre en pánico — pero actúe de inmediato

Si su sitio utiliza el plugin “Sección de Carrera”, trátelo como una emergencia:

  1. Actualice el plugin a la versión 1.8 (o más reciente). Esta es la solución más rápida y confiable.
  2. Si no puede actualizar de inmediato (compatibilidad, verificaciones de staging, etc.), siga los pasos de mitigación a continuación para reducir la superficie de ataque.
  3. Si nota alguna señal de compromiso (vea la sección de detección), siga la lista de verificación de respuesta a incidentes de inmediato.

Contención inmediata (primeras 1–4 horas)

Si no puede actualizar de inmediato, utilice las siguientes medidas de contención — priorizadas por velocidad y efectividad:

  • Desactive el plugin temporalmente a través del administrador de WP o renombrando la carpeta del plugin a través de SFTP/SSH:
    • SSH/SFTP: renombrar wp-content/plugins/career-section a career-section.disabled
  • Bloquee los puntos finales específicos de carga del plugin a nivel de servidor web o WAF.
    • Ejemplo de regla nginx (bloquear POSTs a un patrón de punto final que identifique):
ubicación ~* ^/wp-admin/admin-ajax.php$ {

Nota: Solo bloquea los puntos finales de los que estés seguro que pertenecen al plugin; un bloqueo global de POST en admin‑ajax puede romper la funcionalidad legítima.

  • Endurecer las reglas del directorio de cargas para deshabilitar la ejecución de PHP en las cargas (ver sección posterior).
  • Habilitar un límite de tasa estricto para los puntos finales de carga y bloquear IPs sospechosas.
  • Pon el sitio en modo de mantenimiento si sospechas de explotación activa y necesitas tiempo para investigar.

Si alojas múltiples sitios, trata todos los sitios en el mismo host o cuenta como potencialmente afectados hasta que se demuestre lo contrario.

Contención a través de WP‑Firewall (lo que recomendamos)

Si eres usuario de WP‑Firewall, habilita las reglas WAF gestionadas de inmediato. Publicamos parches virtuales y firmas para vulnerabilidades críticas de plugins, que:

  • Bloquean solicitudes que coinciden con patrones de explotación conocidos (indicadores de carga de archivos, cargas útiles multipartes sospechosas, huellas digitales de UA y carga útil conocidas).
  • Detectan y eliminan intentos de cargar extensiones potencialmente ejecutables (.php, .phtml, .phar, etc.) en rutas de carga.
  • Limitar la tasa y bloquear la actividad de escaneo que apunte a puntos finales conocidos como vulnerables.
  • Proporcionar alertas en tiempo real y bloqueo automático de IP.

Nuestro parcheo virtual te da tiempo mientras programas una actualización o realizas una remediación cuidadosa.

Aprende más sobre el plan gratuito de WP‑Firewall y cómo proteger tu sitio de inmediato en la sección “Asegura tu sitio en minutos” a continuación.

Cómo los atacantes suelen explotar fallos de carga no autenticados

Los atacantes comúnmente automatizan los siguientes pasos en campañas de explotación masiva:

  1. Enumerar sitios de WordPress y verificar la presencia del plugin vulnerable (patrones de URL, activos del plugin o archivos readme).
  2. Enviar solicitudes POST multipart/form‑data elaboradas al punto final de carga del plugin, incrustando un archivo (a menudo utilizando una carga útil PHP).
  3. El controlador vulnerable acepta la carga sin verificar la autenticación, el tipo de archivo o sanitizar los nombres de archivo, y escribe el archivo en un directorio accesible por la web.
  4. El atacante luego envía una solicitud GET al archivo PHP cargado, que ejecuta código en el servidor (shell web).
  5. Con un shell, el atacante ejecuta comandos, persiste puertas traseras, exfiltra datos o añade usuarios administradores.

Debido a que muchos sitios de WordPress utilizan configuraciones similares, los atacantes pueden escalar este proceso masivamente.

Qué buscar — indicadores de compromiso (IoC)

Si sospechas que tu sitio ha sido objetivo, verifica los siguientes signos de inmediato:

  • Archivos PHP inesperados en la carpeta de uploads:
    • Ubicaciones comunes:
      • wp-content/uploads/
      • wp-content/uploads/2026/05/
    • Ejemplo de comandos find/grep:
# Encuentra cualquier archivo .php/.phtml/.phar en uploads
  • Archivos con dobles extensiones (por ejemplo, image.jpg.php) o nombres de archivos con caracteres inesperados.
  • Archivos de plugin/tema/núcleo modificados recientemente que no cambiaste.
  • Usuarios administradores desconocidos o privilegios cambiados.
  • Tareas programadas inesperadas (cron jobs) en WordPress o tablas cron del servidor.
  • Conexiones salientes desde el sitio a IPs o dominios desconocidos.
  • Correos electrónicos de spam o páginas de spam SEO creadas en el sitio.
  • Picos altos de uso de CPU o red.

Mantén una instantánea de evidencia (copia archivos sospechosos) para análisis forense.

Una lista de verificación práctica de respuesta a incidentes (qué hacer si crees que fuiste explotado)

  1. Pon el sitio en modo de mantenimiento (si es posible).
  2. Toma una copia de seguridad completa de archivos y base de datos de inmediato (preserva como evidencia).
  3. Aísla la instancia de otras redes internas y bloquea temporalmente el acceso a la red saliente.
  4. Busca en uploads archivos sospechosos (ver sección IoC). Mueve archivos sospechosos a un directorio de cuarentena para análisis.
  5. Revisa los registros de acceso del servidor web para solicitudes POST a puntos finales de plugins y GET sospechosos a archivos en uploads:
    • Busque solicitudes con User‑Agents inusuales, un número anormalmente grande de POSTs multipartes o POSTs repetidos al mismo endpoint.
  6. Rote todas las credenciales: contraseñas de administrador de WordPress, panel de control de hosting, FTP/SFTP, contraseñas de base de datos y cualquier clave API utilizada por el sitio.
  7. Escanee la base de código en busca de archivos modificados y patrones de código malicioso (busque base64_decode, eval, gzinflate, create_function, etc.).
  8. Restaure el sitio desde una copia de seguridad conocida como buena (si tiene una). Si está restaurando, actualice el núcleo de WordPress, los plugins y los temas antes de volver a activar el sitio.
  9. Si no hay una copia de seguridad limpia disponible, realice una instalación limpia: instalación fresca de WordPress, reinstale plugins/temas de fuentes confiables, importe contenido limpio.
  10. Envíe archivos sospechosos a un servicio de análisis de malware o a su proveedor de seguridad para revisión.
  11. Monitoree el sitio para la reinserción del backdoor (los atacantes persistentes a menudo vuelven a infectar).
  12. Presente un informe de incidente a su proveedor de hosting y busque ayuda profesional si es necesario.

Si aloja múltiples sitios de WordPress en el mismo servidor, presuma contaminación cruzada y verifique todos los sitios.

Remediación paso a paso (qué cambiar y por qué)

  1. Actualice el plugin a 1.8 o más reciente:
    • Método preferido: Use WordPress admin Plugins → Actualizar.
    • Si el administrador es inaccesible, actualice usando WP‑CLI:
wp plugin update career-section --version=1.8 --force
  1. Inspeccione y limpie las cargas:
    • Elimine cualquier archivo PHP o ejecutable de las cargas.
    • Use los comandos find/grep anteriores para identificar archivos sospechosos.
    • Si encuentra un backdoor, mantenga una copia para análisis, luego elimínelo después de la investigación.
  2. Endurezca el directorio de cargas:
    • Prevenga la ejecución de PHP en el directorio de cargas.
    • Ejemplo de Apache (.htaccess):
# Coloque en wp-content/uploads/.htaccess

Ejemplo de Nginx (configuración del sitio):

location ~* ^/wp-content/uploads/.*\.(php|phar|phtml)$ {

Asegúrese de que un índice.php archivo exista en los subdirectorios de carga para que las listas de directorios no revelen contenido.

  1. Implemente la validación y sanitización de tipos de archivo en código personalizado:
    • Utilice los ayudantes del núcleo de WordPress como wp_check_filetype_and_ext() y wp_handle_upload() para un manejo seguro.
    • Elimine o normalice los nombres de archivo y evite permitir extensiones arbitrarias.
  2. Agregue restricciones del lado del servidor:
    • Permisos de archivo: comúnmente directorios 755 y archivos 644; no otorgue permisos 775/777 a los directorios de carga a menos que sea explícitamente necesario.
    • Desactive funciones PHP arriesgadas a nivel de configuración de PHP si es posible (por ejemplo, disable_functions = exec,passthru,shell_exec,system).
    • Asegúrese de que las versiones de PHP y todos los paquetes del servidor estén actualizados.
  3. Audite y rote credenciales:
    • Rote todas las contraseñas de administrador de WordPress y las contraseñas del panel de control de hosting.
    • Reemita cualquier clave o token de API filtrado.
  4. Realice un escaneo completo de malware y auditoría de código:
    • Utilice múltiples herramientas de escaneo e inspección manual. Los escáneres automatizados pueden pasar por alto puertas traseras ofuscadas.
  5. Revise las cuentas de usuario y capacidades:
    • Elimine usuarios desconocidos y audite cambios recientes.
  6. Monitoree los registros para actividades de seguimiento:
    • Continúe vigilando las solicitudes que coincidan con el patrón de explotación original durante al menos 30 días.

Mejores prácticas de desarrollo para prevenir vulnerabilidades similares

Esta vulnerabilidad era evitable con prácticas estándar de codificación segura. Los autores de plugins y desarrolladores deben:

  • Nunca aceptar cargas sin verificaciones de capacidad. Asegúrese de una verificación de usuario autenticado (por ejemplo, current_user_can()) donde sea apropiado.
  • Sane todas las entradas, incluidos los nombres de archivos y los campos de formularios.
  • Valide los tipos de archivos con wp_check_filetype_and_ext() en lugar de confiar solo en la extensión.
  • Almacene los archivos cargados fuera de la raíz del documento cuando sea posible, o de lo contrario, evite la ejecución desde dentro del directorio de cargas.
  • Use nonces y verifíquelos para formularios de carga en el front-end y puntos finales de admin-ajax.
  • Aplique límites estrictos de tamaño de archivo y escaneo de contenido para archivos comprimidos (zip, rar) y otros formatos de contenedor potencialmente peligrosos.
  • Evite duplicar controladores de archivos; reutilice los controladores de carga del núcleo de WordPress para beneficiarse de las verificaciones integradas.
  • Incluya pruebas unitarias de seguridad y realice pruebas de fuzz en puntos finales de larga duración.

Si usted es un desarrollador que mantiene un plugin, priorice aplicar el parche en cada rama soportada y agregue pruebas automatizadas para prevenir regresiones.

Para hosts y proveedores de WordPress gestionados

Los anfitriones deben:

  • Detectar rápidamente patrones de POST rápidos que apunten a puntos finales de carga en los sitios de los clientes.
  • Ofrecer parches virtuales de emergencia en el borde de la red para bloquear patrones de explotación.
  • Informar a los clientes afectados y recomendar la actualización inmediata de plugins.
  • Proporcionar soporte de escaneo y limpieza para clientes sin equipos de seguridad internos.
  • Aislar cuentas comprometidas rápidamente para prevenir movimientos laterales.

Reglas de detección y consultas de registro (ejemplos prácticos)

Utilice estos patrones para buscar actividad de explotación probable en los registros del servidor web (ejemplo de formato de registro combinado de Apache):

  • POSTs sospechosos a puntos finales de plugins: 
    grep -E "POST .*wp-content.*career-section|POST .*career-section" /var/log/apache2/access.log
  • Cargas multipart que contienen contenido PHP: 
    grep -i --line-number -E "Content-Disposition: form-data;.*filename=.*\.(php|phtml|phar|php5|php7)" /var/log/apache2/access.log
  • Acceso a shells potencialmente subidos: 
    grep -E "/wp-content/uploads/.*\.(php|phtml|phar)|/uploads/.*\.(php|phtml|phar)" /var/log/apache2/access.log

Ajuste las reglas del WAF para detectar:

  • POSTs multipart con tipos de contenido sospechosos
  • Solicitudes de carga de archivos que contienen fragmentos de código PHP en la carga útil
  • Solicitudes que suben archivos con extensiones dobles o sospechosas

Lista de verificación de recuperación después de limpiar y endurecer (a largo plazo)

  1. Asegúrese de que el plugin se haya actualizado a la versión corregida o se haya eliminado.
  2. Confirme que no existan archivos sospechosos en los directorios de cargas o plugins.
  3. Valide que los permisos, las reglas de .htaccess/nginx y otras medidas de endurecimiento estén en su lugar.
  4. Vuelva a emitir credenciales y secretos.
  5. Reintroduzca el sitio desde una copia de seguridad limpia o después de una limpieza verificada.
  6. Habilite la monitorización continua (monitorización de integridad de archivos, WAF, alertas).
  7. Programe una revisión de seguridad o auditoría de terceros si el punto de apoyo del atacante fue significativo.

Por qué importa el parcheo virtual — y cómo WP‑Firewall ayuda.

Muchos propietarios de sitios no pueden actualizar inmediatamente los plugins debido a pruebas de compatibilidad, ventanas de preparación u otras limitaciones operativas. El parcheo virtual —aplicado a nivel del firewall de aplicaciones web (WAF)— le permite bloquear técnicas de explotación conocidas sin modificar el código del sitio. WP‑Firewall proporciona protecciones de WAF gestionadas que:

  • Despliegan reglas protectoras específicamente adaptadas a vulnerabilidades recién divulgadas.
  • Bloquee intentos de explotación filtrando solicitudes maliciosas (por ejemplo, solicitudes multipart con PHP incrustado).
  • Reduzca el riesgo durante el período entre la divulgación y la implementación del parche.
  • Proporcione registro y alertas para informar sobre intentos de explotación a usted y su equipo.

El parcheo virtual es una solución temporal, no un sustituto de la aplicación de parches oficiales. Pero puede ser vital cuando una campaña activa de explotación masiva apunta a una vulnerabilidad como esta.

Ideas de reglas de WAF de ejemplo (para administradores)

A continuación se presentan firmas de reglas conceptuales que puede implementar en su WAF. Estos son ejemplos: pruebe en un entorno de pruebas antes de aplicarlos en producción.

  • Bloquee las solicitudes POST que contengan etiquetas de apertura PHP en el cuerpo multipart:
    • Si el contenido multipart o el cuerpo POST contiene <?php o <?= luego bloquea.
  • Bloquee las cargas con extensiones ejecutables en las rutas de carga:
    • Si la URL coincide /wp-content/subidas/ y el nombre del archivo termina con .php|.phtml|.phar|.php5 bloquee la solicitud.
  • Limite la tasa de POST a puntos finales específicos de plugins:
    • Si hay más de X POST por minuto desde una sola IP al punto final → bloquee o desafíe.
  • Bloquee nombres de archivos sospechosos (dobles extensiones o nombres de archivos muy largos):
    • Expresión regular del nombre de archivo para capturar .*\.(jpg|png)\.php$ o nombres mayores de 200 caracteres.

Nuevamente: implemente de manera reflexiva para minimizar falsos positivos.

Cómo validar que su sitio está limpio (lista de pruebas rápidas)

  • No hay archivos PHP en las cargas.
  • El núcleo de WordPress y todos los plugins/temas actualizados a las últimas versiones seguras.
  • No hay usuarios administradores desconocidos.
  • La base de datos no contiene opciones inyectadas (busque valores sospechosos de site_url o home, nuevas opciones).
  • No hay tareas programadas inesperadas en wp_options (opciones_wp donde option_name LIKE ‘%cron%’).
  • Los registros del servidor web y de PHP no muestran intentos recientes de explotación (o los muestran pero bloqueados por WAF).

Comunicándose con sus usuarios, clientes o partes interesadas

Si gestiona sitios de clientes o proporciona alojamiento, debe:

  • Notificar a los clientes afectados de manera rápida y clara: explique el riesgo, las opciones de remediación y el cronograma esperado.
  • Proporcionar orientación sobre si aplicará mitigaciones inmediatas (desactivar plugin, parche virtual) o asistirá con el parcheo y la limpieza.
  • Documentar los pasos que realizó y la evidencia recopilada en caso de preguntas de seguimiento.

La comunicación oportuna y transparente reduce el pánico y ayuda a los clientes a tomar las medidas necesarias.

Divulgación y coordinación responsables

Cuando se divulga públicamente una vulnerabilidad, la divulgación coordinada es el camino ideal: los investigadores notifican al proveedor, el proveedor aplica el parche y luego se publica un aviso público. En la práctica, los plazos de los parches varían. Como propietarios y administradores de sitios, debemos ser proactivos: monitorear fuentes de seguridad, aplicar parches rápidamente y tener controles de protección en su lugar (WAF, copias de seguridad, monitoreo).

Si eres un desarrollador que descubre una vulnerabilidad en un plugin, sigue las mejores prácticas de divulgación responsable: contacta al autor del plugin y al equipo de seguridad de WordPress.org cuando sea aplicable antes de la divulgación pública generalizada. Esto ayuda a proteger a la comunidad en general.

Asegura tu sitio en minutos — Prueba WP‑Firewall Basic (Gratis)

WP‑Firewall ofrece un plan Básico gratuito que proporciona protecciones esenciales, siempre activas, diseñadas para reducir el riesgo de vulnerabilidades como esta mientras actualizas y limpias tu sitio. El plan Básico incluye:

  • Cortafuegos gestionado con reglas WAF específicas de WordPress
  • Protección de ancho de banda ilimitado
  • Escáner de malware en el sitio
  • Mitigación de los 10 principales riesgos de OWASP
  • Configuración simple y protección continua

Si deseas protección inmediata y una forma sencilla de bloquear intentos de explotación mientras realizas actualizaciones, considera registrarte para el plan Básico gratuito aquí: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

La actualización a niveles de pago desbloquea características adicionales como la eliminación automática de malware, listas de permitidos/bloqueados de IP, informes de seguridad mensuales y parches virtuales automáticos para vulnerabilidades críticas de plugins.

Recomendaciones finales: lo que debes hacer ahora (paso a paso)

  1. Verifica si el plugin “Sección de Carreras” está instalado y qué versión estás utilizando.
  2. Si estás utilizando la versión <= 1.7, actualiza a 1.8 de inmediato.
  3. Si no puedes actualizar ahora:
    • Desactiva el plugin hasta que puedas actualizar.
    • Aplica restricciones a nivel de servidor para bloquear cargas y prevenir la ejecución de PHP en las cargas.
    • Habilita WAF/parches virtuales (como WP‑Firewall) para bloquear intentos de explotación.
  4. Escanea las cargas, busca anomalías en la creación de usuarios y busca shells web.
  5. Rota las credenciales y refuerza la configuración del sitio.
  6. Monitorea los registros y alertas por actividad maliciosa en curso.

Reflexiones finales

Esta vulnerabilidad de carga de archivos arbitrarios no autenticada es exactamente el tipo de problema a nivel de plugin que puede convertirse en un compromiso a gran escala en horas. La combinación de acceso no autenticado y la posibilidad de escribir archivos ejecutables en directorios accesibles por la web hace de este uno de los problemas de mayor impacto que un administrador de WordPress puede enfrentar.

Actualiza primero. Si no puedes, mitiga en segundo lugar. Y si deseas una forma práctica y rápida de detener los intentos de explotación de inmediato, considera habilitar parches virtuales gestionados y protecciones WAF mientras completas la remediación. WP‑Firewall está aquí para ayudar a proteger tus sitios de WordPress 24/7 para que puedas concentrarte en administrar tu negocio en lugar de perseguir amenazas.

Si necesitas asistencia, nuestra guía de respuesta a incidentes y servicios gestionados están listos para ayudar: desde parches virtuales inmediatos hasta limpieza completa y compromisos de endurecimiento.

Mantente seguro y, por favor, trata este aviso como urgente si utilizas el plugin afectado.

— Equipo de seguridad de firewall de WP

wordpress security update banner

Reciba WP Security Weekly gratis 👋
Regístrate ahora!!

Regístrese para recibir la actualización de seguridad de WordPress en su bandeja de entrada todas las semanas.

¡No hacemos spam! Lea nuestro política de privacidad para más información.

Contáctenos para programar una consulta de seguridad de WordPress gratuita

Contáctenos

WP-Firewall
6/F, The Rays, 71 Hung To Road, Kwun Tong, Kowloon, Hong Kong

Características Precios Blog Acceso
política de privacidad Términos de servicio Documentos Afiliado

© 2026 WP-Firewall™