Title: Alerta de dependabot: Unsafe deserialization dentro de wp-includes
Last modified: 28 de enero de 2026

---

# Alerta de dependabot: Unsafe deserialization dentro de wp-includes

 *  [nino_ort](https://es.wordpress.org/support/users/nino_ort/)
 * (@nino_ort)
 * [hace 8 meses, 2 semanas](https://es.wordpress.org/support/topic/alerta-de-dependabot-unsafe-deserialization-dentro-de-wp-includes/)
 * Hola!
 * Tengo una alerta de seguridad desde mi repositorio de github de dependabot:
 * PHPUnit Vulnerable to Unsafe Deserialization in PHPT Code Coverage Handling
 * en el archivo wordpress/wp-includes/sodium_compat/composer.json
 * Es algo conocido o que pueda ser solucionado en futuras actualizaciones?
 * Gracias!

Viendo 2 respuestas - de la 1 a la 2 (de un total de 2)

 *  [Javier Casares](https://es.wordpress.org/support/users/javiercasares/)
 * (@javiercasares)
 * [hace 8 meses, 2 semanas](https://es.wordpress.org/support/topic/alerta-de-dependabot-unsafe-deserialization-dentro-de-wp-includes/#post-12225981)
 * Es un [CVE](https://github.com/advisories/GHSA-vvj3-c3rp-c85p) conocido y parcheado.
 * En cualquier caso, si lo que tienes en producción es el núcleo de WordPress, 
   y no ejecutas ningún elemento de desarrollo, no debería ser un problema en principio.
   Por defecto, WordPress no ejecuta PHPUnit (aunque aparezca en los ficheros) por
   lo que, a menos que lo tengas instalado y funcionando (habitual en entornos de
   desarrollo) no ha de afectar.
 * La explotación requiere capacidad de escribir/colocar un archivo `.coverage` 
   malicioso antes de ejecutar el test (por ejemplo, vía PR malicioso o contaminación
   del _workspace_/cache del _runner_). No es un _bug_ remoto típico del _runtime_
   de WordPress; es más un riesgo de CI/CD / _supply chain_.
 *  [Sebastian Diaz](https://es.wordpress.org/support/users/sebasdiaz04/)
 * (@sebasdiaz04)
 * [hace 2 meses, 2 semanas](https://es.wordpress.org/support/topic/alerta-de-dependabot-unsafe-deserialization-dentro-de-wp-includes/#post-12226314)
 * Hola.
 * La alerta aparece porque Dependabot encontró a PHPUnit declarado dentro del archivo`
   composer.json` de `sodium_compat`. En ese archivo figura como una dependencia
   de desarrollo, utilizada para ejecutar pruebas, y no como parte necesaria para
   que WordPress cargue normalmente.
 * Lo primero que revisaría es si el repositorio tiene algún proceso automático 
   en GitHub Actions que instale dependencias con Composer y ejecute PHPUnit.
    - Si el repositorio solo contiene una copia del sitio y no ejecuta pruebas, 
      la alerta no debería afectar directamente al funcionamiento de WordPress.
    - Si sí se ejecutan pruebas, conviene actualizar PHPUnit a una versión corregida
      dentro de la rama compatible con el proyecto.
 * La vulnerabilidad se activa durante pruebas PHPT con cobertura y necesita que
   exista previamente un archivo `.coverage` manipulado en el entorno donde se ejecutan
   esas pruebas.
 * No modificaría directamente el archivo dentro de `wp-includes`, porque pertenece
   al núcleo de WordPress y el cambio podría perderse en la próxima actualización.
   Mantén WordPress actualizado y revisa principalmente la configuración de pruebas
   del repositorio.
 * Saludos.

Viendo 2 respuestas - de la 1 a la 2 (de un total de 2)

Debes estar [registrado](https://login.wordpress.org/?redirect_to=https%3A%2F%2Fes.wordpress.org%2Fsupport%2Ftopic%2Falerta-de-dependabot-unsafe-deserialization-dentro-de-wp-includes%2F%3Foutput_format%3Dmd&locale=es_ES)
para responder a este debate.

 * En: [Seguridad](https://es.wordpress.org/support/forum/seguridad/)
 * 2 respuestas
 * 3 participantes
 * Última respuesta de: [Sebastian Diaz](https://es.wordpress.org/support/users/sebasdiaz04/)
 * Última actividad: [hace 2 meses, 2 semanas](https://es.wordpress.org/support/topic/alerta-de-dependabot-unsafe-deserialization-dentro-de-wp-includes/#post-12226314)
 * Estado: sin resolver

## Debates

### Debates populares

### Debates sin respuestas

### Debates que no son soporte

### Debates resueltos

### Debates no resueltos

### Todos los debates