CVE-2026-19652: Divi Membership vulnerable a escalada de privilegios

Qué es la vulnerabilidad

La vulnerabilidad CVE-2026-19652 es un fallo de escalada de privilegios en el plugin Divi Membership para WordPress, desarrollado por DiviEngine. El problema reside en la función dmem_form_submit_handler(), que determina el rol del nuevo usuario registrado mediante un proceso inseguro.

En concreto, la función itera sobre todos los roles de WordPress y llama a password_verify() contra un hash bcrypt controlado por el atacante, que se suministra a través del parámetro form_id en una petición POST. No se realiza ninguna validación ni lista blanca de roles permitidos. Esto permite que un atacante no autenticado registre una nueva cuenta con el rol de administrador simplemente enviando un hash bcrypt calculado localmente para la cadena administrator como valor de form_id.

Además, si se envía el parámetro auto_login=on, el atacante es autenticado inmediatamente como administrador en la misma petición, lo que resulta en la toma completa del sitio. La explotación requiere un nonce de WordPress, pero este nonce se emite públicamente en cualquier página que muestre el formulario de registro de Divi Membership, por lo que cualquier visitante no autenticado puede obtenerlo.

La vulnerabilidad está clasificada bajo la debilidad CWE-269 (gestión de privilegios inadecuada) y afecta a todas las versiones del plugin hasta la 2.2.0 inclusive.

Productos y versiones vulnerables

Según la información publicada por CVE.org y NVD, el producto afectado es el plugin para WordPress Divi Membership, desarrollado por DiviEngine. La vulnerabilidad está presente en todas las versiones hasta la 2.2.0 inclusive.

No se ha publicado información sobre una versión corregida o parcheada en las fuentes consultadas. Se recomienda revisar el changelog oficial del fabricante para conocer la disponibilidad de una actualización de seguridad.

Impacto y riesgo

La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS v3.1 de 9.8 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), permite a un atacante no autenticado escalar privilegios hasta obtener el rol de administrador en el sitio WordPress.

El fallo reside en la función dmem_form_submit_handler(), que determina el rol del nuevo usuario iterando sobre todos los roles de WordPress y llamando a password_verify() contra un hash bcrypt controlado por el atacante, suministrado en el parámetro POST form_id. Al no existir una lista blanca de roles permitidos, un atacante puede enviar un hash bcrypt calculado localmente para la cadena «administrator» y, si además envía auto_login=on, ser autenticado inmediatamente como administrador en la misma petición.

El impacto potencial incluye:

• Compromiso total del sitio: el atacante obtiene control administrativo completo.
• Confidencialidad, integridad y disponibilidad: con acceso de administrador, un atacante puede modificar archivos, inyectar código malicioso, exfiltrar datos de la base de datos y provocar la denegación del servicio.
• Propagación a otros sistemas: en entornos compartidos o con configuraciones deficientes, el compromiso del sitio podría extenderse al servidor subyacente.

La explotación requiere un nonce de WordPress, pero este se emite públicamente en cualquier página que muestre el formulario de registro de Divi Membership, por lo que cualquier visitante no autenticado puede obtenerlo. Esto eleva significativamente la criticidad del fallo, ya que no se requiere ninguna interacción del usuario ni credenciales previas.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información sobre explotación activa de esta vulnerabilidad en entornos reales. La descripción técnica detalla el método de explotación, pero no se confirma que haya sido utilizada en campañas maliciosas. No obstante, dado el nivel de criticidad y la facilidad de explotación, se recomienda aplicar las mitigaciones disponibles de forma inmediata.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo enrichment.ioc se encuentra vacío, por lo que no se dispone de IOC publicados para esta vulnerabilidad. No deben inventarse indicadores que no estén respaldados por las fuentes oficiales.

Cómo comprobar si estás afectado

Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-19652, debes verificar la versión del plugin Divi Membership que tienes activa. El problema afecta a todas las versiones hasta la 2.2.0 inclusive.

Pasos para la verificación

1. Accede al panel de administración de WordPress.
2. Navega a Plugins → Plugins instalados.
3. Localiza Divi Membership en la lista y comprueba el número de versión que se muestra en la columna «Versión».
4. Si la versión es 2.2.0 o anterior, tu sitio está afectado.

Si no puedes acceder al panel de administración, puedes revisar el archivo readme.txt del plugin mediante FTP o el administrador de archivos de tu hosting. La ruta habitual es /wp-content/plugins/divi-membership/readme.txt. En la cabecera del archivo debería aparecer la versión instalada.

También puedes consultar el changelog oficial del plugin para confirmar si tu versión está dentro del rango afectado. Recuerda que la vulnerabilidad permite a un atacante no autenticado registrar una cuenta con rol de administrador y tomar el control total del sitio, por lo que la comprobación debe realizarse con carácter urgente.

Mitigación y actualización

La vulnerabilidad CVE-2026-19652 es crítica (CVSS 9.8) y permite la toma de control total del sitio sin necesidad de credenciales. La única mitigación efectiva confirmada por las fuentes consultadas es actualizar el plugin a una versión corregida publicada por el fabricante.

En el momento de la publicación de este análisis, no se ha confirmado públicamente una versión corregida específica. Se recomienda encarecidamente:

• Consultar el changelog oficial de Divi Membership en diviengine.com/divi-membership-changelog para conocer cuándo se publica una versión que corrija esta vulnerabilidad.
• Revisar la página del producto en diviengine.com/product/divi-membership para obtener información oficial del fabricante.
• Suscribirse a las alertas de seguridad de Wordfence para recibir notificaciones cuando haya actualizaciones disponibles.

Medidas temporales mientras esperas la actualización

Si no puedes actualizar de inmediato, considera las siguientes acciones compensatorias:

• Desactiva el plugin si no es imprescindible para el funcionamiento del sitio. Esta es la medida más segura.
• Si necesitas mantenerlo activo, deshabilita el registro de usuarios en Ajustes → General desmarcando la opción «Cualquiera puede registrarse».
• Implementa un firewall de aplicación web (WAF) que bloquee peticiones POST con parámetros form_id sospechosos o que contengan hashes bcrypt.
• Monitoriza los registros de auditoría para detectar la creación de nuevas cuentas con rol de administrador.

Importante: Estas medidas son temporales y no eliminan la vulnerabilidad. La actualización del plugin es la única solución definitiva confirmada.

Checklist para administradores

• ☐ He verificado la versión de Divi Membership instalada en mi sitio.
• ☐ He confirmado si mi versión está dentro del rango afectado (≤ 2.2.0).
• ☐ He consultado el changelog oficial del plugin para conocer la disponibilidad de una versión corregida.
• ☐ He revisado la página del producto en el sitio del fabricante para obtener información oficial.
• ☐ He desactivado el registro de usuarios si el plugin está activo y no puedo actualizar.
• ☐ He implementado un WAF o reglas de bloqueo para peticiones maliciosas.
• ☐ He revisado los registros de auditoría en busca de cuentas de administrador no autorizadas.
• ☐ He comprobado que no existan cuentas de administrador creadas recientemente sin mi autorización.
• ☐ He programado una revisión periódica del changelog y las alertas de seguridad.
• ☐ He notificado al equipo responsable del sitio sobre la criticidad de esta vulnerabilidad.

Preguntas frecuentes

¿Qué versión de Divi Membership está afectada?

Todas las versiones hasta la 2.2.0 inclusive están afectadas. Las fuentes consultadas no confirman si existe una versión posterior corregida en el momento de la publicación.

¿Cómo se explota esta vulnerabilidad?

Un atacante no autenticado envía una petición POST al formulario de registro con un hash bcrypt de la palabra «administrator» en el parámetro form_id. La función dmem_form_submit_handler() itera todos los roles de WordPress y verifica el hash sin validar si el rol está permitido. Si además se envía auto_login=on, el atacante queda autenticado como administrador en la misma petición.

¿Necesita el atacante algún tipo de autenticación?

No. La vulnerabilidad puede ser explotada por atacantes no autenticados. Aunque se requiere un nonce de WordPress, este se emite públicamente en cualquier página que muestre el formulario de registro de Divi Membership, por lo que cualquier visitante puede obtenerlo.

¿Qué impacto tiene esta vulnerabilidad?

El impacto es total: el atacante obtiene una cuenta con rol de administrador y puede tomar el control completo del sitio, incluyendo la modificación de archivos, la instalación de plugins maliciosos y el acceso a la base de datos. La puntuación CVSS es de 9.8 (Crítica).

¿Existen indicadores de compromiso (IOC) conocidos?

No publicado por las fuentes consultadas. No se han extraído IOC estructurados de las referencias disponibles. Se recomienda revisar los registros de creación de usuarios y las peticiones POST anómalas al formulario de registro.

¿Qué debo hacer si creo que mi sitio ha sido comprometido?

Si sospechas que tu sitio ha sido atacado, debes: 1) desactivar el plugin inmediatamente, 2) revisar todas las cuentas de usuario con rol de administrador y eliminar las no autorizadas, 3) cambiar todas las contraseñas, 4) revisar los archivos del tema y plugins en busca de modificaciones sospechosas, y 5) restaurar desde una copia de seguridad limpia si es necesario.