Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-13423 |
| Fabricante | PHP Group (asignación CVE) |
| Producto | Streamit WordPress theme (componente vulnerable) |
| Fecha de publicación | 2026-07-29 |
| Severidad | CRITICAL |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 240 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-13423 afecta al tema Streamit de WordPress hasta la versión 4.5.0. Según la descripción oficial, el tema no realiza ninguna verificación de autorización o nonce en una de sus rutas AJAX no autenticadas. Esta ruta invoca una función PHP proporcionada por el atacante con un array de argumentos también controlado por el atacante. Esto permite a atacantes no autenticados llamar funciones arbitrarias de PHP, por ejemplo para crear una cuenta de administrador, lo que conduce a una escalada de privilegios y ejecución remota de código.
La debilidad se clasifica como CWE-94: Control inadecuado de la generación de código (‘Inyección de código’). El vector de ataque es remoto, no requiere autenticación ni interacción del usuario, y tiene una complejidad de ataque baja.
Productos y versiones vulnerables
| Producto | Versiones afectadas |
|---|---|
| Streamit WordPress theme | Hasta 4.5.0 inclusive |
Nota: Aunque el CVE está asignado a PHP Group y al producto PHP, la vulnerabilidad real reside en el tema Streamit de WordPress. Las fuentes oficiales confirman que el componente afectado es el tema Streamit.
Impacto y riesgo
La vulnerabilidad tiene una puntuación CVSS de 9.8 (CRITICAL). El impacto en la confidencialidad, integridad y disponibilidad es alto. Un atacante puede ejecutar código arbitrario en el servidor, crear cuentas de administrador, modificar el sitio web, robar datos o utilizarlo como punto de partida para ataques posteriores. Dado que no requiere autenticación, cualquier sitio que utilice el tema Streamit en una versión vulnerable está expuesto.
Estado de explotación conocida
Según las fuentes consultadas, no se dispone de información sobre explotación activa en entornos reales. Sin embargo, la referencia a wpscan.com incluye la etiqueta «exploit», lo que sugiere que existe un exploit de prueba de concepto o detalle técnico publicado. La selección de esta CVE por RyzerBot se basa en su publicación reciente y su puntuación CVSS ≥ 9.0, no en evidencia de explotación activa.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. No deben inventarse. Se recomienda revisar los logs del servidor y del sitio WordPress en busca de actividad inusual, como peticiones AJAX sospechosas o creación de cuentas de administrador no autorizadas.
Cómo comprobar si estás afectado
Para determinar si tu sitio está afectado, verifica la versión del tema Streamit instalado en tu WordPress:
- Accede al panel de administración de WordPress.
- Ve a Apariencia > Temas.
- Localiza el tema Streamit y comprueba su número de versión.
- Si la versión es igual o inferior a 4.5.0, el sitio está afectado.
No se proporcionan comandos específicos en las fuentes oficiales.
Mitigación y actualización
La acción principal es actualizar el tema Streamit a una versión superior a 4.5.0, si el fabricante ha publicado una actualización. Consulta el aviso oficial en wpscan.com para obtener más detalles. Mientras tanto, como mitigación temporal, se puede deshabilitar la funcionalidad AJAX vulnerable o implementar reglas de firewall de aplicaciones web (WAF) que bloqueen las peticiones sospechosas a esa ruta.
Checklist para administradores
- ☐ Identificar la versión del tema Streamit en todos los sitios WordPress gestionados.
- ☐ Si la versión es ≤ 4.5.0, planificar una actualización inmediata.
- ☐ Revisar los registros de acceso y errores del servidor en busca de actividad anómala.
- ☐ Verificar que no se hayan creado cuentas de administrador no autorizadas.
- ☐ Implementar un WAF con reglas para bloquear peticiones AJAX no autenticadas sospechosas.
- ☐ Mantener copias de seguridad actualizadas del sitio y la base de datos.
Preguntas frecuentes
¿Qué es CVE-2026-13423?
Es una vulnerabilidad crítica que afecta al tema Streamit de WordPress hasta la versión 4.5.0, permitiendo ejecución remota de código sin autenticación.
¿A qué versiones afecta?
Afecta a todas las versiones del tema Streamit hasta la 4.5.0 inclusive.
¿Requiere autenticación?
No, la vulnerabilidad es explotable de forma remota sin necesidad de autenticación.
¿Existe un exploit público?
La referencia oficial en wpscan.com incluye la etiqueta «exploit», lo que indica que se ha publicado información técnica o un exploit de prueba de concepto. No se confirma explotación activa.
¿Cómo puedo protegerme?
Actualiza el tema Streamit a una versión superior a 4.5.0 tan pronto como esté disponible. Como medida temporal, aplica reglas de WAF o deshabilita la funcionalidad AJAX vulnerable.
¿Qué hago si creo que mi sitio ya ha sido comprometido?
Realiza una auditoría de seguridad, revisa cuentas de usuario, busca archivos inusuales, restaura desde una copia de seguridad limpia y cambia todas las contraseñas.