Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-14900 |
| Fabricante | PHP Group (plugin de StylemixThemes) |
| Producto | Cost Calculator Builder PRO para WordPress |
| Fecha de publicación | 2026-07-29 |
| Severidad | CRÍTICA |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-14900 es un fallo de ejecución remota de código (RCE) en el plugin Cost Calculator Builder PRO para WordPress, en todas las versiones hasta la 4.0.3 inclusive. El problema reside en la función js_to_php, que procesa el campo orderDetails[*].originalValue sin la sanitización adecuada. Este campo se inyecta directamente en una cadena de fórmula de calculadora que se pasa a la función eval() de PHP. Aunque existe una lista blanca de expresiones regulares en evaluateFormula(), esta solo filtra tokens alfanuméricos, dejando intactos los caracteres de puntuación no alfabéticos. Esto permite a atacantes no autenticados ejecutar código arbitrario en el servidor.
La única barrera de autenticación es un nonce, pero este nonce se emite públicamente en todas las páginas del front-end a través del hook wp_head, por lo que cualquier visitante no autenticado puede obtenerlo fácilmente. Las cargas útiles deben ser gadgets XOR no alfabéticos para eludir la sanitización.
Productos y versiones vulnerables
| Producto | Versión afectada |
|---|---|
| Cost Calculator Builder PRO para WordPress | Todas las versiones hasta 4.0.3 inclusive |
Nota: Las fuentes consultadas no especifican versiones anteriores a 4.0.3 como no afectadas. Se recomienda asumir que todas las versiones hasta la 4.0.3 son vulnerables.
Impacto y riesgo
El impacto de CVE-2026-14900 es crítico, con una puntuación CVSS de 9.8. Un atacante no autenticado puede explotar esta vulnerabilidad para ejecutar código arbitrario en el servidor, lo que puede comprometer la confidencialidad, integridad y disponibilidad del sistema. Esto incluye el robo de datos sensibles, la modificación de contenido del sitio, la instalación de malware o el control total del servidor. Dado que el vector de ataque es remoto y no requiere privilegios ni interacción del usuario, el riesgo es extremadamente alto para cualquier sitio que utilice el plugin afectado.
Estado de explotación conocida
No se ha publicado información sobre explotación activa de CVE-2026-14900 en las fuentes consultadas. La selección de esta vulnerabilidad por parte de RyzerBot se basa en su reciente publicación y su puntuación CVSS de 9.8, no en evidencia de explotación activa. Se recomienda actuar con la máxima urgencia debido a la gravedad del fallo.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. No deben inventarse. Si se detectan comportamientos anómalos en el servidor, se recomienda realizar un análisis forense exhaustivo.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress está afectada por CVE-2026-14900, verifica la versión del plugin Cost Calculator Builder PRO. Si la versión instalada es igual o inferior a 4.0.3, el sitio es vulnerable. Puedes consultar la versión desde el panel de administración de WordPress, en la sección de plugins. No se proporcionan comandos específicos en las fuentes consultadas.
Mitigación y actualización
La acción recomendada es revisar el aviso oficial del fabricante (StylemixThemes) y aplicar la actualización o mitigación publicada. En el momento de redactar este informe, las fuentes no indican una versión parcheada específica. Se sugiere:
- Actualizar el plugin a la última versión disponible tan pronto como el fabricante publique un parche.
- Si no hay parche disponible, considerar desactivar temporalmente el plugin hasta que se publique una solución.
- Implementar reglas de firewall de aplicaciones web (WAF) para bloquear intentos de explotación conocidos.
- Monitorear los registros del servidor en busca de actividades sospechosas relacionadas con la función
eval()o el campoorderDetails.
Checklist para administradores
- ☐ Identificar la versión del plugin Cost Calculator Builder PRO en todos los sitios WordPress.
- ☐ Si la versión es ≤ 4.0.3, marcar el sitio como vulnerable.
- ☐ Revisar el aviso oficial del fabricante en stylemixthemes.com.
- ☐ Aplicar la actualización o mitigación publicada por el fabricante.
- ☐ Si no hay parche, considerar desactivar el plugin temporalmente.
- ☐ Implementar reglas de WAF para bloquear patrones de ataque relacionados con
eval()yorderDetails. - ☐ Revisar los registros del servidor en busca de accesos inusuales o ejecución de código.
- ☐ Realizar un escaneo de seguridad completo en el sitio.
- ☐ Mantener copias de seguridad actualizadas y fuera del servidor.
Preguntas frecuentes
1. ¿Qué es CVE-2026-14900?
Es una vulnerabilidad crítica de ejecución remota de código en el plugin Cost Calculator Builder PRO para WordPress, que permite a atacantes no autenticados ejecutar código arbitrario en el servidor.
2. ¿Qué versiones están afectadas?
Todas las versiones del plugin hasta la 4.0.3 inclusive.
3. ¿Se requiere autenticación para explotar esta vulnerabilidad?
No. Aunque hay un nonce, este se emite públicamente en todas las páginas del front-end, por lo que cualquier visitante no autenticado puede obtenerlo.
4. ¿Existe un parche disponible?
Las fuentes consultadas no indican una versión parcheada específica. Se recomienda revisar el aviso oficial del fabricante para obtener actualizaciones.
5. ¿Cómo puedo protegerme si no hay parche?
Puedes desactivar temporalmente el plugin, implementar reglas de WAF y monitorear los registros del servidor en busca de actividad sospechosa.
6. ¿Esta vulnerabilidad está siendo explotada activamente?
No se ha publicado información sobre explotación activa en las fuentes consultadas. Sin embargo, debido a su gravedad, se recomienda actuar con urgencia.