CVE-2026-19660: Bypass de autenticación crítico en Divi Membership

Qué es la vulnerabilidad

CVE-2026-19660 es una vulnerabilidad de bypass de autenticación (CWE-287: Improper Authentication) en el plugin Divi Membership de WordPress, desarrollado por DiviEngine. La falla afecta a todas las versiones del plugin hasta la 2.3.0 inclusive.

El origen del problema se encuentra en la función process_paypal_callback, que está enganchada al hook init de WordPress. Esto significa que la función se ejecuta en cada petición frontal al sitio, sin importar el contexto. Esta función está diseñada para procesar notificaciones IPN (Instant Payment Notification) de PayPal, pero su implementación contiene múltiples deficiencias de seguridad críticas:

• Sin validación IPN: No verifica que la petición provenga realmente de los servidores de PayPal.
• Sin verificación de firma criptográfica: No comprueba la autenticidad de la comunicación mediante firma digital.
• Sin verificación de propiedad: No valida que el usuario que realiza la petición tenga relación con la transacción.
• Sin nonce: No utiliza nonces de WordPress para proteger contra CSRF (Cross-Site Request Forgery).

La función acepta un parámetro GET llamado paypal_param, codificado en base64. Este parámetro contiene un identificador de usuario (user ID) que es completamente controlado por el atacante. El valor extraído se pasa directamente a las funciones wp_set_current_user() y wp_set_auth_cookie() de WordPress, lo que permite al atacante establecer la sesión como si fuera el usuario especificado.

La gravedad se ve incrementada por el hecho de que la clase de pasarela de pago de PayPal se instancia de forma incondicional, independientemente de si PayPal está habilitado o configurado en el sitio. Esto garantiza que el hook vulnerable esté siempre registrado y activo en cada petición frontal, exponiendo la vulnerabilidad en todos los sitios que tengan el plugin instalado, incluso si no utilizan PayPal como método de pago.

La combinación de estos factores permite a un atacante no autenticado, sin ninguna interacción del usuario, autenticarse como cualquier usuario existente en el sitio WordPress, incluyendo administradores. El vector de ataque es de red (AV:N), con baja complejidad (AC:L), sin necesidad de privilegios (PR:N) ni interacción del usuario (UI:N), y el impacto es alto en confidencialidad, integridad y disponibilidad (C:H/I:H/A:H).

La vulnerabilidad fue publicada el 2 de octubre de 2026, con una antigüedad de aproximadamente 2.7 horas en el momento de su análisis, y ha sido clasificada como crítica con una puntuación CVSS de 9.8.

Las referencias proporcionadas por NVD y CVE.org apuntan al changelog oficial del plugin y al análisis de Wordfence, aunque los detalles técnicos completos de la explotación no han sido divulgados públicamente en las fuentes consultadas.

Productos y versiones vulnerables

La vulnerabilidad CVE-2026-19660 afecta al plugin Divi Membership para WordPress, desarrollado por DiviEngine. Según los datos publicados por CVE.org y NVD, todas las versiones del plugin hasta la 2.3.0 (incluida) se consideran afectadas. No se ha publicado información sobre versiones anteriores o ramas de mantenimiento específicas que estén exentas del fallo.

Nota: Las fuentes consultadas no indican una versión corregida o un parche específico. Se recomienda consultar el registro de cambios oficial del fabricante para conocer la disponibilidad de una actualización.

Impacto y riesgo

La vulnerabilidad presenta una puntuación CVSS de 9.8 (crítico) con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto implica un impacto total en la confidencialidad, integridad y disponibilidad del sitio afectado, sin requerir autenticación previa ni interacción del usuario.

El fallo reside en la función process_paypal_callback, conectada a la acción init de WordPress. Esta función acepta un parámetro GET paypal_param codificado en base64 y lo procesa sin realizar ninguna de las siguientes comprobaciones:

• Validación de IPN (Pago Instantáneo de PayPal).
• Verificación de firma criptográfica.
• Comprobación de propiedad o titularidad de la solicitud.
• Uso de nonce o token de seguridad.

El valor del ID de usuario, controlado por el atacante, se pasa directamente a las funciones wp_set_current_user() y wp_set_auth_cookie(). Esto permite a un atacante no autenticado iniciar sesión como cualquier usuario existente en el sitio, incluidos los administradores, simplemente suministrando un ID de usuario arbitrario en el parámetro paypal_param.

Un factor que agrava el riesgo es que la clase de pasarela de pago de PayPal se instancia de forma incondicional, independientemente de si PayPal está habilitado o configurado. Esto garantiza que el gancho vulnerable esté siempre registrado en cada petición de front-end, ampliando la superficie de ataque a cualquier sitio que tenga el plugin activo.

El impacto práctico es la toma de control total del sitio (site takeover), que puede derivar en la instalación de puertas traseras, modificación de contenido, robo de datos de usuarios o uso del sitio como plataforma para ataques posteriores.

Estado de explotación conocida

Las fuentes consultadas (NVD, CVE.org y las referencias de Wordfence) no publican información explícita sobre la explotación activa de esta vulnerabilidad en el momento de la publicación del aviso. No se ha confirmado ni documentado públicamente ningún exploit funcional o campaña de ataque que aproveche CVE-2026-19660.

Sin embargo, la naturaleza del fallo (omisión de autenticación sin requisitos previos) y su puntuación CVSS de 9.8 lo convierten en un candidato probable para la explotación automatizada. Se recomienda encarecidamente a los administradores que traten esta vulnerabilidad como explotable y apliquen las mitigaciones disponibles de inmediato.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. Los campos de IOC aparecen vacíos en el contexto de enriquecimiento, por lo que no se dispone de direcciones IP, dominios, hashes de archivos u otros artefactos técnicos asociados a esta vulnerabilidad.

No deben inventarse indicadores. Se recomienda monitorizar los registros de acceso en busca de peticiones HTTP que contengan el parámetro paypal_param con valores codificados en base64, especialmente aquellas dirigidas a la raíz del sitio o a rutas de WordPress que activen el gancho init. Ante cualquier sospecha de compromiso, se aconseja revisar las cuentas de usuario con privilegios elevados y comprobar la integridad de los archivos principales de WordPress.

Cómo comprobar si estás afectado

Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-19660, debes verificar la versión del plugin Divi Membership que tienes activa. Según los datos publicados por CVE.org y NVD, todas las versiones hasta la 2.3.0 inclusive están afectadas por esta vulnerabilidad de autenticación.

El proceso de comprobación es sencillo y no requiere herramientas externas:

• Accede al panel de administración de WordPress y navega hasta Plugins → Plugins instalados.
• Localiza Divi Membership en la lista y revisa el número de versión que se muestra en la columna «Versión» o en los metadatos del plugin.
• Si la versión es 2.3.0 o anterior, tu sitio está expuesto y debes aplicar las medidas de mitigación descritas a continuación.
• También puedes revisar el archivo de cabecera del plugin (divi-membership.php o similar) para confirmar la versión si el panel no la muestra correctamente.

Es importante señalar que la vulnerabilidad se activa en todas las peticiones front-end, independientemente de si PayPal está configurado o habilitado. Esto significa que no hay una condición previa que reduzca la exposición: si el plugin está activo, el hook vulnerable está registrado.

Nota importante: No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. Si sospechas que tu sitio ha sido comprometido, revisa los registros de acceso en busca de peticiones inusuales con el parámetro paypal_param y verifica si existen usuarios administradores desconocidos.

Mitigación y actualización

En el momento de la publicación de esta CVE, no se ha confirmado públicamente una versión corregida del plugin Divi Membership. Las referencias oficiales disponibles apuntan al changelog oficial del fabricante y a la entrada de Wordfence Threat Intelligence, donde se publicará el aviso de actualización cuando esté disponible.

Mientras tanto, estas son las medidas de mitigación que puedes aplicar para reducir el riesgo:

• Desactiva y elimina el plugin si no lo estás utilizando activamente. Esta es la medida más efectiva, ya que elimina por completo el hook vulnerable.
• Si necesitas mantener el plugin activo, considera implementar un Web Application Firewall (WAF) que bloquee las peticiones que contengan el parámetro paypal_param en la URL.
• Restringe el acceso administrativo mediante autenticación de dos factores (2FA) y limita los usuarios con privilegios de administrador a los estrictamente necesarios.
• Supervisa los registros de acceso y configura alertas para detectar intentos de autenticación anómalos o peticiones con parámetros sospechosos.
• Mantente atento al changelog oficial del fabricante y aplica la actualización en cuanto esté disponible.

Dado que la vulnerabilidad permite la toma de control total del sitio sin autenticación, se recomienda tratar esta amenaza con máxima prioridad y considerar la desactivación temporal del plugin hasta que exista una versión parcheada.

Checklist para administradores

• ☐ He verificado la versión de Divi Membership instalada en mi WordPress.
• ☐ He confirmado si mi versión está dentro del rango afectado (≤ 2.3.0).
• ☐ He revisado los registros de acceso en busca de peticiones con el parámetro paypal_param.
• ☐ He comprobado que no existen usuarios administradores desconocidos o modificados recientemente.
• ☐ He desactivado el plugin si no es imprescindible para mi sitio.
• ☐ He implementado un WAF o regla de bloqueo para el parámetro paypal_param.
• ☐ He habilitado la autenticación de dos factores (2FA) para todos los usuarios con privilegios administrativos.
• ☐ He configurado alertas de monitorización para detectar intentos de autenticación anómalos.
• ☐ He marcado el changelog oficial del fabricante para recibir notificaciones de actualización.
• ☐ He documentado las medidas aplicadas y la fecha de revisión.

Preguntas frecuentes

¿Qué es CVE-2026-19660?

Es una vulnerabilidad crítica de bypass de autenticación en el plugin Divi Membership para WordPress, que permite a un atacante no autenticado iniciar sesión como cualquier usuario existente, incluidos los administradores, mediante una petición HTTP manipulada.

¿Qué versión de Divi Membership está afectada?

Todas las versiones hasta la 2.3.0 inclusive están afectadas. No se ha publicado información sobre una versión corregida en las fuentes consultadas.

¿Cómo se explota esta vulnerabilidad?

El atacante envía una petición GET con el parámetro paypal_param codificado en base64, que contiene el ID de usuario objetivo. La función process_paypal_callback procesa este valor sin validación alguna y lo pasa directamente a wp_set_current_user() y wp_set_auth_cookie(), autenticando al atacante como ese usuario.

¿Necesito tener PayPal configurado para estar afectado?

No. La clase de pasarela de pago se instancia de forma incondicional en cada petición front-end, independientemente de si PayPal está habilitado o configurado. Si el plugin está activo, la vulnerabilidad está presente.

¿Qué impacto tiene esta vulnerabilidad?

El impacto es crítico (CVSS 9.8). Un atacante puede obtener acceso total al sitio, modificar contenido, instalar plugins maliciosos, robar datos de usuarios y comprometer el servidor en última instancia.

¿Existen indicadores de compromiso (IOC) conocidos?

No se han publicado IOC estructurados en las fuentes consultadas. Se recomienda revisar los registros de acceso en busca de peticiones inusuales con el parámetro paypal_param y verificar la integridad de las cuentas de usuario.