Alerta crítica: Se ha publicado la CVE-2026-89274, una vulnerabilidad de ejecución arbitraria de shortcodes en el plugin WP Recipe Maker para WordPress, que afecta a todas las versiones hasta la 10.8.1 inclusive. Un atacante no autenticado podría ejecutar shortcodes registrados en el servidor mediante comentarios con valoración manipulados, lo que conlleva la divulgación de datos sensibles a todos los visitantes de la página. Se recomienda aplicar la actualización o mitigación publicada por el fabricante de forma inmediata.
Resumen ejecutivo
| CVE | CVE-2026-89274 |
|---|---|
| Fabricante | brechtvds |
| Producto | WP Recipe Maker |
| Fecha de publicación | 2026-09-19 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) |
| Prioridad RyzerBot | 205 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La CVE-2026-89274 es una vulnerabilidad de tipo ejecución arbitraria de shortcodes (CWE-94: Control inadecuado de generación de código, «Inyección de código») que afecta al plugin WP Recipe Maker en todas sus versiones hasta la 10.8.1 inclusive. Este plugin, desarrollado por brechtvds, es una solución ampliamente utilizada para la creación y gestión de recetas en sitios WordPress, incluyendo la generación de datos estructurados JSON-LD para el enriquecimiento de resultados en buscadores.
El origen del fallo se encuentra en la función WPRM_Metadata::sanitize_metadata(), que procesa el array de metadatos estructurados de cada receta. Dicha función realiza una llamada recursiva a do_shortcode() sobre cada campo escalar del array, incluyendo el campo reviewBody. Este campo se rellena literalmente con el contenido (comment_content) de los comentarios de valoración (wprm-comment-rating) que hayan sido aprobados en el sitio.
El problema crítico radica en que do_shortcode() se ejecuta antes de que se apliquen las funciones de saneamiento wp_strip_all_tags() y strip_shortcodes(). Estas funciones, que podrían eliminar los tokens de shortcode, se ejecutan únicamente sobre la cadena de salida después de que la ejecución del shortcode ya haya tenido lugar en el servidor. En consecuencia, cualquier shortcode registrado en el sitio WordPress —ya sea del núcleo, de otros plugins o del tema— puede ser invocado de forma arbitraria durante el renderizado de la página de la receta.
La explotación exitosa no requiere autenticación previa. El atacante únicamente necesita que un comentario con valoración, que contenga el shortcode malicioso en su contenido, supere el umbral de aprobación de comentarios del sitio. Esto puede ocurrir mediante la autoaprobación configurada en el sitio o por la acción de un moderador. Una vez aprobado, el shortcode se ejecutará en el servidor en cada carga de la página de la receta afectada.
El resultado de la ejecución del shortcode —por ejemplo, pies de foto de adjuntos, campos de entradas privadas u otros datos expuestos por shortcodes instalados— se incrusta en el metadato reviewBody del bloque JSON-LD de la página, quedando visible para todos los visitantes que carguen dicha página. Esto convierte la vulnerabilidad en un vector de divulgación de información sensible y potencialmente en una puerta para ataques adicionales si los shortcodes ejecutados tienen efectos secundarios en el servidor.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-89274 afecta al plugin WP Recipe Maker para WordPress, desarrollado por brechtvds. Según la información publicada por CVE.org y NVD, todas las versiones del plugin hasta la 10.8.1 (inclusive) están afectadas. No se ha publicado información sobre versiones anteriores específicas o ramas de desarrollo que pudieran estar exentas.
| Producto | Vendor | Versiones afectadas | Estado |
|---|---|---|---|
| WP Recipe Maker | brechtvds | Todas las versiones hasta 10.8.1 (inclusive) | Afectado |
No se han publicado versiones corregidas o parches específicos en las fuentes consultadas. Se recomienda encarecidamente revisar el aviso oficial del fabricante y el changeset de WordPress.org para obtener información actualizada sobre la disponibilidad de una versión segura.
Impacto y riesgo
La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS de 9.1 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N), permite a un atacante no autenticado ejecutar shortcodes arbitrarios de WordPress en el servidor. El fallo reside en la función WPRM_Metadata::sanitize_metadata(), que procesa recursivamente cada campo escalar de la matriz de metadatos estructurados de la receta, incluyendo el campo reviewBody. Este campo se rellena con el contenido literal de comment_content de comentarios aprobados del tipo wprm-comment-rating.
La función do_shortcode() se invoca sobre estos campos antes de que se apliquen las funciones de saneamiento wp_strip_all_tags() y strip_shortcodes(), que solo operan sobre la salida ya generada. Esto significa que cualquier shortcode registrado en el sitio se ejecuta en el servidor durante el renderizado de cada página de receta, sin que el atacante necesite credenciales.
El impacto principal es la divulgación de información confidencial (confidencialidad alta) y la modificación no autorizada de datos (integridad alta). El shortcode ejecutado puede exponer datos sensibles como pies de foto de adjuntos, campos de entradas privadas o cualquier otra información que los shortcodes instalados en el sitio puedan mostrar. Esta información se incrusta en los metadatos JSON-LD reviewBody de la página y se muestra a todos los visitantes que cargan la receta. La disponibilidad no se ve afectada según el vector CVSS.
La explotación requiere que el comentario con la calificación del atacante supere el umbral de aprobación de comentarios del sitio, ya sea mediante aprobación automática o por acción de un moderador. Una vez aprobado, el shortcode se ejecuta en cada carga de página, lo que amplifica el impacto.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información que confirme explotación activa de esta vulnerabilidad en entornos reales. No se ha incluido ninguna referencia a campañas de ataque, exploits públicos o pruebas de concepto en los datos analizados. La ausencia de esta información no debe interpretarse como una garantía de seguridad; la criticidad y la facilidad de explotación (requisitos de red bajos, sin privilegios y sin interacción del usuario) hacen que sea un objetivo atractivo para los atacantes. Se recomienda aplicar las mitigaciones y actualizaciones disponibles con carácter prioritario.
Indicadores de compromiso (IOC)
El campo enrichment.ioc del contexto proporcionado está vacío. Las fuentes consultadas (NVD, CVE.org y las referencias incluidas) no han publicado indicadores de compromiso estructurados, como direcciones IP, dominios, hashes de archivos o cadenas de ataque específicas. No se deben inventar indicadores que no estén respaldados por las fuentes. Se recomienda monitorizar los registros del servidor en busca de patrones de comentarios inusuales que contengan tokens de shortcode ([ y ]) en el campo de comentario de las recetas, así como revisar los metadatos JSON-LD generados en las páginas públicas para detectar contenido inesperado.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-89274, debes verificar la versión del plugin WP Recipe Maker que tienes activa. La vulnerabilidad afecta a todas las versiones hasta la 10.8.1 inclusive.
El procedimiento de comprobación es el siguiente:
- Accede al panel de administración de WordPress.
- Navega a Plugins → Plugins instalados.
- Localiza WP Recipe Maker en la lista y comprueba el número de versión que se muestra en la columna correspondiente.
- Si la versión es igual o inferior a 10.8.1, la instalación es vulnerable y debe aplicarse la mitigación o actualización disponible.
Además de la versión, es importante revisar la configuración de moderación de comentarios. La explotación requiere que un comentario con valoración (wprm-comment-rating) sea aprobado, ya sea automáticamente o por un moderador. Si tu sitio permite comentarios sin aprobación previa, el riesgo de explotación es mayor.
Nota importante: La vulnerabilidad se ejecuta en el servidor cada vez que se renderiza una página de receta. No se requiere autenticación para explotarla, solo que el comentario malicioso haya superado el filtro de aprobación.
Mitigación y actualización
En el momento de la publicación de esta CVE, la información disponible indica que la vulnerabilidad afecta a todas las versiones de WP Recipe Maker hasta la 10.8.1 inclusive. No se ha publicado información oficial sobre una versión corregida en las fuentes consultadas.
Mientras se publica una actualización oficial, se recomienda aplicar las siguientes medidas de mitigación:
- Desactivar o eliminar el plugin si no es imprescindible para el funcionamiento del sitio. Esta es la medida más segura y elimina por completo la superficie de ataque.
- Activar la moderación de comentarios en Ajustes → Discusión. Configura la opción «Un comentario debe ser aprobado manualmente» para que ningún comentario se publique automáticamente.
- Revisar los comentarios existentes con valoración en recetas. Busca cualquier comentario que contenga códigos de shortcode (texto entre corchetes, como
[shortcode]) y elimínalos o desapruébalos. - Limitar la ejecución de shortcodes en comentarios. Si utilizas un plugin de seguridad o un cortafuegos de aplicación web (WAF), configura reglas para bloquear la ejecución de shortcodes en campos de comentarios.
- Monitorizar los registros del servidor en busca de peticiones inusuales a páginas de recetas que puedan indicar intentos de explotación.
Recomendación: Consulta periódicamente el aviso oficial del fabricante y el enlace de Wordfence incluido en las fuentes para conocer cuándo se publica una versión corregida y aplícala tan pronto como esté disponible.
Checklist para administradores
- ☐ He verificado la versión de WP Recipe Maker instalada en mi sitio.
- ☐ He confirmado si mi versión es igual o inferior a 10.8.1.
- ☐ He revisado la configuración de moderación de comentarios en Ajustes → Discusión.
- ☐ He activado la aprobación manual de comentarios si era necesario.
- ☐ He revisado los comentarios con valoración existentes en busca de shortcodes maliciosos.
- ☐ He eliminado o desaprobado cualquier comentario sospechoso.
- ☐ He considerado desactivar el plugin si no es esencial para el sitio.
- ☐ He configurado reglas en mi WAF o plugin de seguridad para bloquear shortcodes en comentarios.
- ☐ He monitorizado los registros del servidor en busca de actividad anómala.
- ☐ He marcado esta CVE para revisarla periódicamente hasta que se publique una actualización.
Preguntas frecuentes
¿Qué es un shortcode y por qué es peligroso que se ejecute?
Un shortcode es una función de WordPress que permite insertar contenido dinámico mediante una sintaxis entre corchetes, como o
¿Necesito estar autenticado para explotar esta vulnerabilidad?
No. La vulnerabilidad puede ser explotada por atacantes no autenticados. El único requisito es que el comentario con el shortcode malicioso supere el filtro de aprobación de comentarios del sitio, ya sea automáticamente o mediante la acción de un moderador.
¿Qué información puede quedar expuesta si mi sitio es vulnerable?
La información expuesta depende de los shortcodes que estén registrados en tu instalación de WordPress. Por ejemplo, si tienes shortcodes que muestran captions de adjuntos, campos personalizados o contenido privado, esos datos podrían incrustarse en el JSON-LD de la página y ser visibles para cualquier visitante.
¿Cómo puedo saber si mi sitio ya ha sido comprometido?
Revisa los comentarios con valoración en tus recetas y busca cualquier texto que contenga corchetes ([ y ]). También puedes inspeccionar el código fuente de tus páginas de recetas y buscar contenido inusual en el bloque JSON-LD, específicamente en el campo reviewBody.
¿Debo desactivar el plugin aunque lo use a diario?
Si el plugin es esencial para tu sitio, la decisión debe basarse en el nivel de riesgo que estés dispuesto a asumir. La vulnerabilidad es crítica (CVSS 9.1) y no requiere autenticación, por lo que la desactivación temporal es la medida más segura hasta que se publique una versión corregida.
¿Existe alguna versión corregida disponible?
En las fuentes consultadas no se ha publicado información sobre una versión corregida. Se recomienda estar atento al aviso oficial del fabricante y a la referencia de Wordfence para conocer cuándo esté disponible la actualización.