Se han identificado tres vulnerabilidades de severidad alta y crítica en diversos módulos para WordPress. La explotación de estos fallos permite a actores maliciosos ejecutar código de forma remota, instalar temas maliciosos en el servidor y tomar el control total del sitio web mediante la elevación no autorizada de privilegios a administrador.
Productos afectados
- SigmaForms Pro (AI Generated Forms): versiones 1.4.11 y anteriores.
- DevKit Pro (dplugins): versiones 2.3.0 y anteriores.
- Booking for Appointments and Events Calendar – Amelia (Premium): versiones 8.0 a 9.6.2 (inclusive).
Impacto
Las vulnerabilidades se han identificado como:
- CVE-2026-78657: con una puntuación de 9.8 en CVSS v3.1. Existe una vulnerabilidad de eliminación arbitraria de archivos en el componente SigmaForms Pro. Un actor malicioso podría enviar una ruta manipulada mediante el campo de carga del formulario. La eliminación se ejecuta cuando un administrador gestiona la entrada, permitiendo borrar el archivo wp-config.php y desatar la reinstalación del sitio para obtener la ejecución remota de código.
- CVE-2026-9055: con una puntuación de 9.8 en CVSS v3.1. Existe una vulnerabilidad de escalada de privilegios no autenticada en Amelia Premium. La manipulación del parámetro externalId permite a un atacante no autenticado elevar su sesión al rol de gestor, vincular una entidad de proveedor al ID de un usuario administrador y restablecer su contraseña, obteniendo el acceso completo a la cuenta de administrador.
- CVE-2026-14357: con una puntuación de 8.8 en CVSS v3.1. Existe una vulnerabilidad de ausencia de comprobación de autorización en DevKit Pro. Un usuario autenticado con privilegios mínimos puede subir e instalar paquetes .zip de temas arbitrarios con scripts PHP en el directorio /wp-content/themes/, resultando en la ejecución remota de código.
Recomendación
- Actualizar todos los plugins mencionados a versiones no afectadas, preferiblemente desde las páginas de descarga oficiales o sitios de confianza.
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2026-78657
- https://nvd.nist.gov/vuln/detail/CVE-2026-14357
- https://nvd.nist.gov/vuln/detail/CVE-2026-9055
- https://www.wordfence.com/threat-intel/vulnerabilities/id/c714e2b3-8a96-4078-99a4-4ce620939828?source=cve
- https://dplugins.com/downloads/
- https://wpamelia.com/documentation/changelog/