Alerta crítica de seguridad: Se ha publicado la vulnerabilidad CVE-2026-18467, que afecta al plugin de WordPress Paytium: Mollie payment forms & donations en todas sus versiones hasta la 5.0.3 inclusive. Esta falla, clasificada como de escalada de privilegios con una puntuación CVSS de 9.8, permite a un atacante no autenticado registrar una cuenta con rol de administrador y tomar el control total del sitio. Se recomienda aplicar la actualización publicada por el fabricante de forma inmediata.
Resumen ejecutivo
| Identificador | CVE-2026-18467 |
|---|---|
| Fabricante | paytiumsupport |
| Producto | Paytium: Mollie payment forms & donations |
| Fecha de publicación | 2026-09-24 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Prioridad RyzerBot | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-18467 es una vulnerabilidad de escalada de privilegios (CWE-269: Improper Privilege Management) en el plugin Paytium: Mollie payment forms & donations para WordPress. Este plugin permite crear formularios de pago y donaciones integrados con la pasarela Mollie.
El fallo reside en la gestión incorrecta de los datos de usuario durante el proceso de pago. El parche introducido en la versión 5.0.3 añadió una verificación de firma mediante wp_hash() y hash_equals() para el campo pt-paytium-user-data. Sin embargo, esta protección es incompleta: existe un segundo filtro, pt_cf_checkout_meta(), registrado en el hook pt_meta_values después del constructor firmado, que copia todas las claves de $_POST['pt_form_field'] en el array de metadatos del pago sin verificar su firma.
Esta omisión permite que un atacante inyecte un valor arbitrario en la clave pt-user-role, sobrescribiendo el resultado del proceso firmado. Posteriormente, la función paytium_user_data_processing() lee el metadato persistido _pt-user-role y lo pasa directamente como argumento role a la función wp_insert_user(). De esta forma, un atacante no autenticado puede crear una nueva cuenta de WordPress con el rol de administrador.
La explotación requiere que el atacante interactúe con un formulario [paytium] expuesto públicamente y complete el flujo de pago asociado. Una vez creada la cuenta de administrador, el atacante puede recuperar la contraseña mediante el flujo estándar de «pérdida de contraseña» utilizando la dirección de correo electrónico que él mismo proporcionó, obteniendo así el control total del sitio.
Productos y versiones vulnerables
El aviso de CVE.org y la entrada de NVD coinciden en que el producto afectado es el plugin para WordPress Paytium: Mollie payment forms & donations, desarrollado por paytiumsupport. Según la información publicada, todas las versiones hasta la 5.0.3 inclusive están afectadas por esta vulnerabilidad de escalada de privilegios.
| Producto | Fabricante | Versiones afectadas |
|---|---|---|
| Paytium: Mollie payment forms & donations | paytiumsupport | Todas las versiones hasta 5.0.3 inclusive |
No se ha publicado información sobre versiones anteriores específicas que estén exentas del problema, ni sobre una versión corregida posterior a la 5.0.3 en las fuentes consultadas. Se recomienda revisar el canal oficial del fabricante para conocer la disponibilidad de una actualización de seguridad.
Impacto y riesgo
La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS v3.1 de 9.8, permite a un atacante no autenticado registrar una nueva cuenta de WordPress con el rol de administrador y tomar el control total del sitio. El vector CVSS asociado es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, lo que indica que el ataque se puede realizar de forma remota, sin necesidad de credenciales previas ni interacción del usuario, y que compromete la confidencialidad, integridad y disponibilidad del sistema.
El origen del problema se encuentra en una validación incompleta del parche aplicado en la versión 5.0.3. Aunque se introdujo una verificación de firma mediante wp_hash() y hash_equals() para el campo pt-paytium-user-data, el filtro pt_cf_checkout_meta(), registrado en el hook pt_meta_values después del constructor firmado, copia todas las claves de $_POST['pt_form_field'] en el array de metadatos de pago sin verificación de firma. Esto permite que el valor pt-user-role enviado por el atacante sobrescriba la salida de la ruta firmada. Posteriormente, la función paytium_user_data_processing() lee el meta _pt-user-role persistido y lo pasa directamente como argumento role a wp_insert_user(), lo que facilita la creación de una cuenta con privilegios administrativos.
El impacto potencial es total: un atacante podría instalar plugins maliciosos, modificar archivos, exfiltrar datos de clientes y donantes, o utilizar el sitio comprometido como plataforma para ataques posteriores. Dado que el plugin gestiona pagos y donaciones, también existe riesgo de exposición de información financiera sensible almacenada en el sitio.
Estado de explotación conocida
Las fuentes consultadas, incluyendo NVD y CVE.org, describen con detalle el método de explotación: el atacante debe enviar un formulario de pago a través de un shortcode [paytium] expuesto públicamente y completar el flujo de pago resultante. Una vez completado, puede recuperar la nueva cuenta de administrador mediante el flujo estándar de recuperación de contraseña en la dirección de correo electrónico proporcionada.
Sin embargo, no se ha publicado información explícita que confirme la existencia de exploits activos en entornos reales ni la inclusión de esta CVE en catálogos de explotación conocida como el CISA KEV. La descripción técnica detalla el vector de ataque, pero no se debe interpretar como evidencia de explotación activa. Se recomienda tratar esta vulnerabilidad como explotable y priorizar su mitigación.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo correspondiente en el enriquecimiento de datos aparece vacío, por lo que no se dispone de IOC publicados para esta vulnerabilidad. No deben inventarse indicadores ni atribuirse artefactos específicos a este aviso sin respaldo de fuentes oficiales.
Se recomienda monitorizar los registros de acceso y los metadatos de pagos en busca de anomalías, especialmente la creación inesperada de usuarios con rol de administrador o la aparición de campos pt-user-role en solicitudes no firmadas.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-18467, debes verificar la versión exacta del plugin Paytium: Mollie payment forms & donations que tienes activa. Según los datos publicados por NVD y CVE.org, todas las versiones hasta la 5.0.3 inclusive están afectadas por esta vulnerabilidad de escalada de privilegios.
El procedimiento de comprobación es el siguiente:
- Accede al panel de administración de WordPress.
- Navega hasta Plugins → Plugins instalados.
- Localiza la entrada correspondiente a Paytium: Mollie payment forms & donations.
- Anota el número de versión que se muestra en la columna «Versión» o en la ficha del plugin.
- Compara esa versión con el rango afectado: cualquier versión menor o igual a 5.0.3.
Si la versión instalada es igual o inferior a 5.0.3, tu sitio debe considerarse afectado y deberías aplicar las medidas de mitigación descritas en la siguiente sección. Ten en cuenta que la vulnerabilidad explota el flujo de registro de usuarios a través de un formulario público [paytium], por lo que incluso si no eres consciente de tener ese shortcode publicado, es recomendable auditar el contenido del sitio para confirmar su presencia.
Nota importante: La explotación requiere que un atacante complete un flujo de pago a través de un formulario expuesto públicamente. Si no tienes ningún formulario Paytium publicado, la superficie de ataque se reduce, pero la vulnerabilidad persiste en el código del plugin.
Mitigación y actualización
En el momento de la publicación de este análisis, no se ha publicado información oficial sobre una versión corregida del plugin Paytium. Las fuentes consultadas (NVD y CVE.org) no incluyen datos sobre una versión parcheada posterior a la 5.0.3. Por tanto, la recomendación principal es:
- Revisar el aviso oficial del fabricante (paytiumsupport) y el canal de actualizaciones del plugin en el repositorio de WordPress.
- Aplicar la actualización en cuanto esté disponible una versión que corrija la vulnerabilidad.
- Mientras tanto, desactivar el plugin si no es imprescindible para el funcionamiento del sitio.
Si no puedes desactivar el plugin por necesidades operativas, considera estas medidas temporales:
- Retirar o despublicar cualquier shortcode
[paytium]que esté expuesto en páginas públicas, entradas o widgets. Esto elimina el vector de ataque principal descrito en el aviso. - Restringir el registro de usuarios en WordPress: ve a Ajustes → Generales y desmarca la opción «Cualquiera puede registrarse» si no es necesaria para tu operativa.
- Auditar los usuarios existentes con rol de administrador para detectar cuentas no autorizadas creadas recientemente.
- Monitorizar los correos electrónicos asociados a las cuentas de usuario, ya que el atacante necesita acceso al buzón de la cuenta creada para completar el flujo de recuperación de contraseña.
La vulnerabilidad tiene una puntuación CVSS de 9.8 (Crítica) con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, lo que indica que un atacante remoto no autenticado puede comprometer completamente la confidencialidad, integridad y disponibilidad del sitio. La gravedad justifica una actuación inmediata.
Checklist para administradores
- ☐ Verificar la versión instalada del plugin Paytium: Mollie payment forms & donations.
- ☐ Confirmar si la versión instalada es igual o inferior a 5.0.3.
- ☐ Auditar el sitio en busca de shortcodes
[paytium]publicados en páginas, entradas o widgets. - ☐ Despublicar o eliminar temporalmente cualquier formulario Paytium expuesto públicamente.
- ☐ Revisar la lista de usuarios con rol de administrador y verificar que todas las cuentas son legítimas.
- ☐ Comprobar si existe algún usuario creado recientemente con rol de administrador y correo electrónico desconocido.
- ☐ Revisar los registros de actividad del sitio (si dispones de un plugin de auditoría) en busca de eventos de registro de usuarios anómalos.
- ☐ Desactivar el registro abierto de usuarios en Ajustes → Generales si no es imprescindible.
- ☐ Suscribirse al canal de actualizaciones del plugin en el repositorio de WordPress para recibir avisos de nuevas versiones.
- ☐ Consultar el aviso oficial del fabricante y aplicar la actualización en cuanto esté disponible.
- ☐ Si el plugin no es esencial, considerar su desactivación completa hasta que exista una versión corregida.
Preguntas frecuentes
¿Qué versión de Paytium está afectada por CVE-2026-18467?
Todas las versiones del plugin Paytium: Mollie payment forms & donations hasta la 5.0.3 inclusive están afectadas, según los datos publicados por NVD y CVE.org.
¿Qué puede hacer un atacante si explota esta vulnerabilidad?
Un atacante no autenticado puede registrar una nueva cuenta de WordPress con el rol de administrador y, posteriormente, tomar el control total del sitio mediante el flujo estándar de recuperación de contraseña sobre la cuenta creada.
¿Necesita el atacante acceso a un formulario de pago?
Sí. Según la descripción de la vulnerabilidad, la explotación requiere enviar un pago a través de un formulario [paytium] expuesto públicamente y completar el flujo de pago resultante. Si no tienes formularios Paytium publicados, el vector de ataque no está disponible en tu sitio.
¿Existe una versión corregida del plugin?
No publicado por las fuentes consultadas. NVD y CVE.org no incluyen información sobre una versión posterior a la 5.0.3 que corrija esta vulnerabilidad. Se recomienda revisar el aviso oficial del fabricante y el repositorio de WordPress para conocer cuándo estará disponible la actualización.
¿Qué debo hacer si no puedo actualizar el plugin?
Si no puedes actualizar o desactivar el plugin, retira cualquier shortcode [paytium] público, restringe el registro de usuarios y audita periódicamente las cuentas con rol de administrador. Estas medidas reducen la superficie de ataque mientras esperas a una versión corregida.
¿Cómo puedo saber si mi sitio ya ha sido comprometido?
Revisa la lista de usuarios de WordPress y busca cuentas con rol de administrador creadas recientemente, especialmente aquellas asociadas a correos electrónicos que no reconozcas. También puedes consultar los registros de actividad del sitio si dispones de herramientas de auditoría.
Fuentes oficiales
Para obtener información detallada y actualizaciones sobre esta vulnerabilidad, consulta las siguientes fuentes oficiales:
- NVD – Detalle de CVE-2026-18467
- Wordfence Threat Intelligence – CVE-2026-18467
- Código fuente – payment-functions.php (línea 113)
- Código fuente – process-payment-functions.php (línea 1103)
- Código fuente – process-payment-functions.php (línea 21)
- Código fuente – process-payment-functions.php (línea 696)
- Código fuente – user-data-functions.php (línea 214)
- Cambios en el repositorio de Paytium – changeset 3678569
Mantente atento a las actualizaciones del fabricante y aplica los parches de seguridad en cuanto estén disponibles. La criticidad de esta vulnerabilidad (CVSS 9.8) justifica una actuación inmediata para proteger tu sitio WordPress.