CVE-2026-14282: Subida Arbitraria de Archivos en GoDAM para WordPress

🚨 Alerta Crítica: Se ha publicado la vulnerabilidad CVE-2026-14282 que afecta al plugin GoDAM – Organize WordPress Media Library & File Manager con versiones hasta 1.12.2. Permite a atacantes no autenticados subir archivos arbitrarios, pudiendo lograr ejecución remota de código (RCE). La puntuación CVSS es 9.8 (Crítico). Se recomienda aplicar la actualización o mitigación publicada por el fabricante.

Cadena de riesgo y respuesta para CVE-2026-14282

Resumen ejecutivo

Campo	Valor
CVE	CVE-2026-14282
Fabricante	PHP Group (producto: PHP) – según la CVE, el producto afectado es el plugin GoDAM de rtcamp para WordPress.
Producto	GoDAM – Organize WordPress Media Library & File Manager
Fecha de publicación	2026-07-23
Severidad	CRITICAL
CVSS v3.1	9.8 (Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
Puntuación de prioridad	230 (según RyzerBot)
Acción recomendada	Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.

Qué es la vulnerabilidad

CVE-2026-14282 es una vulnerabilidad de subida arbitraria de archivos (CWE-434) encontrada en el plugin GoDAM para WordPress, que permite organizar la biblioteca multimedia y gestionar archivos con carpetas ilimitadas. La falla reside en la función save_video_file(), la cual está enganchada al filtro público wpforms_process_before_filter de WPForms. Debido a una validación insuficiente del tipo de archivo, el plugin confía en la cabecera Content-Type proporcionada por el atacante, preserva el nombre de archivo original mediante wp_unique_filename() y mueve el archivo subido con $wp_filesystem->move() a un directorio accesible web, sin pasar por wp_handle_upload() que aplica una lista blanca de MIME/extensiones. Esto permite a atacantes no autenticados subir cualquier tipo de archivo al servidor, incluyendo archivos ejecutables (como webshells), lo que puede llevar a la ejecución remota de código.

La vulnerabilidad ha sido asignada con una puntuación CVSS de 9.8 (Crítico) y ha sido publicada el 23 de julio de 2026.

Productos y versiones vulnerables

Según la información disponible, el plugin afectado es:

Producto	Vendor	Versión afectada
GoDAM – Organize WordPress Media Library & File Manager with Unlimited Folders for Images, Videos & more	rtcamp	Versiones hasta 1.12.2 inclusive (versiones 0 a 1.12.2)

No se han publicado versiones específicas parcheadas en las fuentes consultadas.

Impacto y riesgo

El impacto potencial de esta vulnerabilidad es muy alto debido a que:

Confidencialidad: Compromiso total (C:H) – un atacante puede leer archivos del servidor.
Integridad: Compromiso total (I:H) – puede modificar o reemplazar archivos.
Disponibilidad: Compromiso total (A:H) – puede borrar o denegar el servicio.
Vector de ataque: Remoto (AV:N), no requiere autenticación (PR:N), no requiere interacción del usuario (UI:N).
Complejidad baja: No se requieren condiciones especiales (AC:L).
Posible ejecución remota de código (RCE): Al poder subir archivos ejecutables, un atacante puede obtener control del servidor.

Estado de explotación conocida

No se ha informado explotación activa en las fuentes consultadas. La selección de esta CVE se basa en su publicación reciente y su puntuación CVSS 9.8, no en evidencia de explotación en curso.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso (IOC) de las fuentes consultadas. No deben inventarse.

Cómo comprobar si estás afectado

Para verificar si tu sitio WordPress es vulnerable:

Accede al panel de administración de WordPress.
Ve a Plugins → Plugins instalados.
Busca el plugin GoDAM – Organize WordPress Media Library & File Manager.
Comprueba su número de versión. Si es igual o inferior a 1.12.2, estás afectado.
También puedes revisar el código fuente en busca de la función save_video_file() en la ruta wp-content/plugins/godam/inc/classes/wpforms/class-wpforms-field-godam-video.php (líneas alrededor de 38, 377 y 403).

Mitigación y actualización

Las fuentes oficiales indican:

Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.

Hasta el momento, no se ha publicado un parche oficial específico en las referencias consultadas. Se recomienda:

Deshabilitar temporalmente el plugin GoDAM si no es esencial.
Monitorear los cambios en el repositorio oficial de plugins de WordPress y en la página de Wordfence.
Implementar reglas de firewall de aplicaciones web (WAF) que bloqueen subidas de archivos con tipos no permitidos.
Restringir permisos de directorios de subida (por ejemplo, wp-content/uploads/godam/) para evitar ejecución de scripts.
Revisar los archivos subidos recientemente en busca de posibles webshells.

Checklist para administradores

☐ Identificar la versión del plugin GoDAM instalada.
☐ Si la versión es ≤ 1.12.2, deshabilitar el plugin hasta que haya un parche.
☐ Revisar los archivos subidos al directorio de uploads en busca de contenido malicioso.
☐ Implementar un WAF con reglas para bloquear subidas no autorizadas.
☐ Restringir permisos de ejecución en directorios de subida (por ejemplo, eliminar el permiso de ejecución de scripts PHP).
☐ Monitorear logs de acceso y errores del servidor en busca de patrones sospechosos.
☐ Mantener actualizados todos los plugins y el núcleo de WordPress.
☐ Revisar periódicos las alertas de seguridad de Wordfence y NVD.

Preguntas frecuentes

¿Qué debo hacer si uso GoDAM?

Actualiza el plugin tan pronto como esté disponible un parche. Mientras tanto, desactívalo si no es crítico.

¿Esta vulnerabilidad afecta solo si uso WPForms?

Según la descripción, la vulnerabilidad se explota a través de la integración con WPForms (filtro wpforms_process_before_filter). Si no tienes WPForms activo, podrías no estar expuesto directamente, pero se recomienda deshabilitar el plugin igualmente.

¿Puedo detectar si he sido atacado?

Revisa los archivos subidos a wp-content/uploads/godam/ y busca archivos con extensiones ejecutables (.php, .phtml, .php5, etc.). También revisa los logs del servidor.

¿Hay exploits públicos?

En las fuentes consultadas no se mencionan exploits públicos. Sin embargo, la naturaleza de la vulnerabilidad (subida arbitraria) facilita su explotación.

¿Qué versión de PHP está afectada?

La CVE asigna el fabricante como PHP Group, pero el producto vulnerable es el plugin GoDAM. No se especifica una versión de PHP afectada.

¿Dónde puedo obtener más información?

Consulta las fuentes oficiales listadas a continuación, especialmente Wordfence y NVD.