CVE-2026-78003: Vulnerabilidad crítica SSRF en Mailgun para WordPress

🚨 Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-78003 en el plugin Mailgun para WordPress (versiones ≤2.2.0). Un atacante no autenticado puede realizar peticiones falsificadas del lado del servidor (SSRF) mediante recorrido de ruta, interceptar correos de restablecimiento de contraseña y tomar el control total de la cuenta de administrador. CVSS 9.8 (CRITICAL). Actualice inmediatamente.

Cadena de riesgo y respuesta para CVE-2026-78003

📌 Resumen ejecutivo

Campo	Detalle
CVE	CVE-2026-78003
Fabricante	Mailgun (plugin para WordPress)
Producto	Mailgun for WordPress
Fecha de publicación	2026-08-22T07:16:53.543Z
Severidad	CRITICAL
CVSS v3.1	9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
Puntuación de prioridad (RyzerBot)	200
Acción recomendada	Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.

🔍 Qué es la vulnerabilidad

La vulnerabilidad CVE-2026-78003 es una falsificación de solicitud del lado del servidor (SSRF) mediante recorrido de ruta en la función add_list() del plugin Mailgun para WordPress. El fallo reside en la validación insuficiente de las claves de array controladas por el usuario provenientes de $_POST['addresses'], que son procesadas por sanitize_text_field() sin comprobar adecuadamente su contenido.

Esto permite a un atacante no autenticado enviar peticiones POST autenticadas a cualquier endpoint de la API de Mailgun utilizando la clave API del sitio WordPress. Entre las acciones maliciosas posibles destaca la creación de rutas de reenvío de correo entrante que interceptan los mensajes de restablecimiento de contraseña, lo que conduce a la toma de control de la cuenta de administrador.

La vulnerabilidad está clasificada como CWE-918 (Server-Side Request Forgery).

🛡️ Productos y versiones vulnerables

Según los datos de CVE.org, el producto afectado es:

Fabricante	Producto	Versiones afectadas	Estado
Mailgun	Mailgun for WordPress	Todas las versiones ≤ 2.2.0	Afectado

Nota: No se han publicado rangos de versiones adicionales ni excepciones en las fuentes consultadas.

⚠️ Impacto y riesgo

Confidencialidad (HIGH): Intercepción de correos de restablecimiento de contraseña y posible acceso a datos sensibles.
Integridad (HIGH): Modificación de rutas de correo, creación de cuentas maliciosas, alteración de configuración de Mailgun.
Disponibilidad (HIGH): Posible denegación de servicio al modificar o eliminar rutas de correo legítimas.
Vector de ataque: Red (AV:N), baja complejidad (AC:L), sin privilegios (PR:N), sin interacción de usuario (UI:N).
Puntuación CVSS 9.8 (CRITICAL) indica riesgo máximo; la explotación es trivial y no requiere autenticación.

🔎 Estado de explotación conocida

Las fuentes consultadas (NVD, CVE.org, Wordfence) no indican explotación activa en la naturaleza en el momento de la publicación. La selección de esta CVE por RyzerBot se basa en su publicación reciente, criticidad (CVSS ≥ 9.0) y puntuación de prioridad, no en evidencia de explotación activa.

📌 Indicadores de compromiso (IOC)

No se han extraído IOC estructurados (hashes, IPs, dominios, firmas de red, etc.) de las fuentes consultadas. No deben inventarse.

🔍 Cómo comprobar si estás afectado

Accede al panel de administración de WordPress → Plugins → Plugins instalados.
Localiza Mailgun for WordPress y verifica su versión.
Si la versión es 2.2.0 o anterior, el sitio es vulnerable.
Revisa los logs del servidor web y de Mailgun en busca de peticiones POST anómalas a endpoints de la API de Mailgun (especialmente creación de rutas /routes).
Comprueba si existen rutas de reenvío de correo no autorizadas en la consola de Mailgun.

No se proporcionan comandos específicos ni scripts de detección en las fuentes oficiales.

🛠️ Mitigación y actualización

Actualizar el plugin a la versión más reciente disponible en el repositorio oficial de WordPress (versión superior a 2.2.0).
Si no hay actualización inmediata, desactive el plugin hasta que se publique el parche.
Rote la clave API de Mailgun utilizada en el sitio WordPress para invalidar posibles accesos indebidos.
Revisa y elimina cualquier ruta de reenvío de correo sospechosa en la consola de Mailgun.
Aplica el principio de menor privilegio: restringe la clave API a los permisos estrictamente necesarios.
Consulta el aviso oficial del fabricante (enlaces en la sección de fuentes) para detalles adicionales.

✅ Checklist para administradores

☐ Verificar versión del plugin Mailgun for WordPress (≤2.2.0 = vulnerable).
☐ Actualizar a versión parcheada (>2.2.0) o desactivar plugin temporalmente.
☐ Rotar clave API de Mailgun configurada en WordPress.
☐ Auditar rutas de reenvío de correo en la consola de Mailgun.
☐ Revisar logs de acceso y errores en busca de peticiones POST anómalas a endpoints de Mailgun.
☐ Confirmar que no hay cuentas de administrador creadas o modificadas recientemente sin autorización.
☐ Implementar WAF / reglas de bloqueo de SSRF si es posible (ej. bloquear peticiones a metadata cloud, IPs privadas).
☐ Documentar acciones realizadas y comunicar al equipo de seguridad.

❓ Preguntas frecuentes

¿Afecta al núcleo de PHP?: No. La vulnerabilidad está en el plugin Mailgun para WordPress, no en el intérprete PHP.
¿Se requiere autenticación para explotar la vulnerabilidad?: No. El ataque puede ser realizado por un usuario no autenticado (PR:N).
¿Qué versiones son seguras?: Versiones posteriores a 2.2.0. Consulte el repositorio oficial para la última versión.
¿Puedo mitigar sin actualizar?: Sí, desactivando el plugin y rotando la clave API de Mailgun, pero la solución definitiva es la actualización.
¿Hay exploits públicos?: Las fuentes consultadas no mencionan exploits públicos en el momento de la publicación.
¿Dónde encuentro el aviso oficial?: En la sección Fuentes oficiales (enlace a Wordfence y al código fuente en Trac).