Índice
Resumen ejecutivo
| CVE | Fabricante | Producto | Fecha de publicación | Severidad | CVSS | Puntuación de prioridad | Acción recomendada |
|---|---|---|---|---|---|---|---|
| CVE-2026-19598 | PHP Group | Pods – Custom Content Types and Fields | 2026-08-15 | CRITICAL | 9.8 | 230 | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
El plugin Pods, utilizado para crear tipos de contenido y campos personalizados en WordPress, contiene una falla de escalada de privilegios. El enrutador AJAX pods_admin canaliza todas las verificaciones de acceso, incluida la lista de métodos permitidos, la verificación de nonce, la obligación de iniciar sesión y la puerta de acceso de capacidades, a través de la función pods_error(). En el camino de compatibilidad JSON meta-box-loader, pods_error() solo escribe los fallos en el registro de errores de PHP y devuelve false en lugar de terminar la solicitud. Esto hace que todas las protecciones sean ineficaces, permitiendo a atacantes no autenticados elevar sus privilegios a Administrador o sobrescribir la contraseña de cualquier cuenta de usuario, incluido el propietario del sitio.
Productos y versiones vulnerables
| Producto | Vendor | Versión afectada |
|---|---|---|
| Pods – Custom Content Types and Fields | sc0ttkclark | 2.8 (≤ 2.8.23.3), 2.9 (≤ 2.9.19.3), 3.0 (≤ 3.0.10.3), 3.1 (≤ 3.1.4.1), 3.2 (≤ 3.2.8.2), 3.3 (≤ 3.3.9) |
Impacto y riesgo
Los atacantes pueden:
- Escalar privilegios a nivel de administrador.
- Modificar o eliminar contenido y configuraciones.
- Sobrescribir contraseñas de usuarios, incluyendo la del propietario.
- Tomar el control total del sitio y sus datos.
La gravedad crítica (CVSS 9.8) indica un riesgo alto de explotación y un impacto devastador si no se mitiga.
Estado de explotación conocida
No publicado por las fuentes consultadas.
Indicadores de compromiso (IOC)
No publicado por las fuentes consultadas.
Cómo comprobar si estás afectado
1. Accede al panel de administración de WordPress.
2. Ve a Plugins → Plugins instalados.
3. Busca el plugin Pods – Custom Content Types and Fields.
4. Verifica la versión instalada; si está dentro de los rangos listados anteriormente, el sitio está vulnerable.
Mitigación y actualización
Actualiza el plugin a la última versión disponible (≥ 3.4.0) o sigue las instrucciones de mitigación publicadas por el fabricante. Si la actualización no es posible, considera desactivar el plugin hasta que esté disponible una versión segura.
Checklist para administradores
- ☑️ Verificar la versión del plugin Pods.
- ☑️ Aplicar la actualización más reciente.
- ☑️ Revisar los registros de errores de PHP en busca de llamadas a
pods_error(). - ☑️ Cambiar contraseñas de cuentas administrativas.
- ☑️ Realizar una auditoría de seguridad completa del sitio.
Preguntas frecuentes
¿Esta vulnerabilidad afecta a todas las versiones de WordPress?
No, solo afecta a las versiones del plugin Pods listadas en el apartado de productos vulnerables.
¿Puedo desactivar el plugin sin perder datos?
Desactivar el plugin puede provocar la pérdida de contenido personalizado. Se recomienda hacer una copia de seguridad antes de desactivarlo.
¿Hay alguna mitigación temporal?
El fabricante no ha publicado mitigaciones temporales. La actualización es la única solución segura.
¿Cómo puedo saber si mi sitio ha sido comprometido?
Revisa los registros de acceso y busca intentos de acceso no autorizados, cambios inesperados en usuarios o contenido.