CVE-2026-87115: Borrado de archivos crítico en VikAppointments

Qué es la vulnerabilidad

La vulnerabilidad CVE-2026-87115 es un fallo de seguridad de tipo Path Traversal (CWE-22) que afecta al plugin VikAppointments Services Booking Calendar para WordPress. El problema radica en una validación insuficiente de las rutas de archivo en la función extract del plugin, específicamente en el controlador confirmapp.php y en el tipo de campo personalizado file.php.

Esta deficiencia permite que un atacante no autenticado, mediante una petición HTTP especialmente diseñada, manipule las rutas de los archivos y elimine archivos arbitrarios del servidor. La explotación exitosa de esta vulnerabilidad puede llevar a la eliminación de archivos críticos del sistema, como wp-config.php, lo que podría comprometer la integridad del sitio y potencialmente permitir la ejecución remota de código en el servidor.

Es importante destacar que la explotación requiere que al menos un campo personalizado de tipo «archivo» esté publicado en el shortcode de la página de confirmación. Este campo no se crea por defecto durante la instalación del plugin, lo que reduce la superficie de ataque, pero no la elimina por completo, ya que los administradores pueden haberlo configurado previamente.

La vulnerabilidad ha sido clasificada con una severidad crítica (puntuación CVSS de 9.1) debido a su facilidad de explotación (red, baja complejidad, sin privilegios ni interacción del usuario) y su alto impacto en la disponibilidad e integridad del sistema. La puntuación de prioridad asignada es de 215, lo que subraya la urgencia de abordar esta amenaza.

Productos y versiones vulnerables

La vulnerabilidad CVE-2026-87115 afecta al plugin VikAppointments Services Booking Calendar para WordPress, desarrollado por e4jvikwp. Según los datos publicados por NVD y CVE.org, todas las versiones del plugin hasta la 1.2.21 (incluida) están afectadas. No se ha publicado información sobre versiones anteriores o posteriores no vulnerables en las fuentes consultadas.

La vulnerabilidad se clasifica como CWE-22 (Limitación incorrecta de una ruta a un directorio restringido, también conocida como Path Traversal).

Impacto y riesgo

La vulnerabilidad tiene una puntuación CVSS de 9.1 (crítica) con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H. Esto implica que un atacante remoto no autenticado puede explotarla sin interacción del usuario, con una complejidad de ataque baja y sin necesidad de privilegios previos.

El impacto principal es la eliminación arbitraria de archivos en el servidor. Si el atacante elimina un archivo crítico como wp-config.php, podría provocar una denegación de servicio o, en escenarios más graves, facilitar la ejecución remota de código (RCE) al forzar la reconfiguración o la inclusión de archivos maliciosos. El impacto en la integridad y disponibilidad se evalúa como alto, mientras que la confidencialidad no se ve afectada directamente.

La explotación requiere una condición previa: que exista al menos un campo personalizado de tipo archivo publicado en el shortcode de la página de confirmación. Este campo no se crea por defecto durante la instalación del plugin, por lo que el riesgo real depende de la configuración específica de cada sitio.

Estado de explotación conocida

Las fuentes consultadas (NVD, CVE.org y Wordfence) no confirman explotación activa de esta vulnerabilidad en el momento de la publicación. No se ha publicado ningún exploit público, prueba de concepto o informe de actividad maliciosa que respalde su uso en ataques reales. La clasificación como crítica se basa en la facilidad de explotación y el impacto potencial, no en evidencia de explotación en curso.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. No deben inventarse. Si se requiere monitorización, se recomienda revisar los registros de acceso en busca de peticiones anómalas a los archivos del plugin (por ejemplo, confirmapp.php o file.php) y cualquier intento de borrado de archivos críticos como wp-config.php.

Cómo comprobar si estás afectado

Para determinar si una instalación de WordPress con el plugin VikAppointments Services Booking Calendar es vulnerable a la eliminación arbitraria de archivos descrita en CVE-2026-87115, debes verificar la versión instalada del plugin. Según los datos publicados por NVD y CVE.org, todas las versiones hasta la 1.2.21 inclusive se consideran afectadas.

El método más fiable es revisar la versión desde el repositorio oficial de WordPress o desde el propio panel de administración. Sin embargo, dado que la vulnerabilidad reside en la función extract y en la gestión de campos personalizados de tipo archivo, también es recomendable comprobar si existe algún campo personalizado de tipo File publicado en el shortcode de la página de confirmación de citas. Este campo no se crea por defecto durante la instalación, por lo que su presencia es un requisito previo para la explotación.

Para una verificación manual, puedes revisar los archivos fuente del plugin en el servidor. Concretamente, los archivos afectados según las referencias de NVD son:

• site/controllers/confirmapp.php (línea 88)
• site/helpers/libraries/customfields/types/file.php (líneas 53 y 131)
• vikappointments.php (línea 237)

Si tienes acceso al panel de administración de WordPress, también puedes ir a Plugins → Plugins instalados y localizar VikAppointments. La versión actual aparecerá en la columna correspondiente. Si la versión es igual o inferior a 1.2.21, la instalación es potencialmente vulnerable.

Nota importante: No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. No deben inventarse ni asumirse como válidos.

Mitigación y actualización

En el momento de la publicación de este análisis, no se ha confirmado oficialmente una versión corregida del plugin. La información disponible en NVD y CVE.org indica que la vulnerabilidad afecta a todas las versiones hasta la 1.2.21, pero no se ha publicado ninguna versión posterior que resuelva el problema de forma explícita.

Mientras se espera una actualización oficial por parte del fabricante e4jvikwp, se recomienda aplicar las siguientes medidas de mitigación:

• Deshabilitar temporalmente cualquier campo personalizado de tipo archivo publicado en la página de confirmación de citas. La explotación requiere al menos un campo de este tipo activo en el shortcode correspondiente.
• Restringir el acceso al archivo confirmapp.php mediante reglas de servidor web (por ejemplo, Apache o Nginx) si no es imprescindible para el funcionamiento del sitio.
• Monitorizar los registros del servidor en busca de peticiones inusuales que intenten manipular rutas de archivos en los parámetros procesados por el plugin.
• Revisar periódicamente el repositorio oficial de WordPress y el aviso del fabricante para conocer cuándo se publica una versión corregida.

Es importante señalar que la eliminación de archivos como wp-config.php podría provocar una denegación de servicio o, en escenarios concretos, permitir la ejecución remota de código si el atacante consigue reemplazar el archivo eliminado. Por tanto, se recomienda extremar la vigilancia y aplicar cualquier actualización en cuanto esté disponible.

Checklist para administradores

Utiliza esta lista para evaluar y reducir el riesgo asociado a CVE-2026-87115 en tus instalaciones:

• ☐ He identificado la versión exacta del plugin VikAppointments instalada en mi sitio.
• ☐ He confirmado si la versión instalada es igual o inferior a 1.2.21.
• ☐ He revisado si existe algún campo personalizado de tipo archivo publicado en la página de confirmación de citas.
• ☐ He deshabilitado o eliminado temporalmente cualquier campo de tipo archivo en el shortcode de confirmación.
• ☐ He comprobado los registros del servidor en busca de intentos de explotación relacionados con rutas de archivos.
• ☐ He suscrito o configurado alertas para conocer cuándo se publica una versión corregida del plugin.
• ☐ He informado a otros administradores del sitio sobre la existencia de esta vulnerabilidad y las medidas adoptadas.
• ☐ He verificado que no se han eliminado archivos críticos del sitio (por ejemplo, wp-config.php).

Preguntas frecuentes

¿Qué es CVE-2026-87115?

Es una vulnerabilidad crítica de eliminación arbitraria de archivos en el plugin VikAppointments Services Booking Calendar para WordPress, causada por una validación insuficiente de rutas en la función extract. Permite a atacantes no autenticados eliminar archivos del servidor.

¿Qué versión de VikAppointments está afectada?

Todas las versiones hasta la 1.2.21 inclusive se consideran afectadas según los datos publicados por NVD y CVE.org.

¿Qué se necesita para explotar esta vulnerabilidad?

Se requiere que al menos un campo personalizado de tipo archivo esté publicado en la página de confirmación de citas. Este campo no se crea por defecto durante la instalación del plugin.

¿Puede esta vulnerabilidad provocar la ejecución remota de código?

Sí, de forma indirecta. Si el atacante elimina un archivo crítico como wp-config.php, podría provocar una denegación de servicio o, en determinadas condiciones, lograr la ejecución remota de código si consigue reemplazar el archivo eliminado.

¿Existe alguna actualización disponible para corregir esta vulnerabilidad?

No se ha publicado oficialmente una versión corregida en las fuentes consultadas. Se recomienda estar atento al repositorio oficial de WordPress y al aviso del fabricante.

¿Cómo puedo proteger mi sitio mientras no hay parche?

Deshabilita cualquier campo personalizado de tipo archivo en la página de confirmación, restringe el acceso a confirmapp.php si es posible y monitoriza los registros del servidor en busca de actividad sospechosa.