🚨 Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-16230 que afecta al plugin Formidable Digital Signatures para WordPress. Con una puntuación CVSS de 9.8, permite a atacantes no autenticados eliminar archivos arbitrarios del servidor. Se recomienda actualizar inmediatamente a la versión 3.1.
Índice
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-16230 |
| Fabricante | Strategy11 |
| Producto | Formidable Digital Signatures (plugin para WordPress) |
| Fecha de publicación | 11 de agosto de 2026 |
| Severidad | CRÍTICA |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 220 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-16230 reside en el plugin Formidable Digital Signatures para WordPress, desarrollado por Strategy11. Se trata de un fallo de validación insuficiente de la ruta de archivo en la función delete_file. Esto permite que atacantes no autenticados, mediante una petición POST durante el flujo estándar de creación de entradas en cualquier formulario que acepte envíos anónimos, puedan eliminar archivos arbitrarios del servidor. El ataque se realiza manipulando el parámetro item_meta[field_id][content] junto con la bandera delete_saved_image.
La debilidad se clasifica como CWE-23: Relative Path Traversal, lo que indica que el atacante puede navegar fuera del directorio permitido y eliminar archivos sensibles.
Productos y versiones vulnerables
| Producto | Versión afectada |
|---|---|
| Formidable Digital Signatures (plugin WordPress) | Todas las versiones hasta 3.0.6 inclusive |
La versión corregida es la 3.1, según el registro de cambios oficial del fabricante.
Impacto y riesgo
Un atacante que explote esta vulnerabilidad puede eliminar archivos en el servidor sin necesidad de autenticación. Esto puede provocar:
- Pérdida de datos críticos (configuraciones, backups, contenido).
- Denegación de servicio al eliminar archivos esenciales del sistema o del plugin.
- Posible escalada de privilegios si se eliminan archivos de seguridad o scripts.
Dado que el vector de ataque es remoto, no requiere interacción del usuario y la complejidad es baja, el riesgo es extremadamente alto.
Estado de explotación conocida
No se ha confirmado explotación activa en las fuentes consultadas. La selección de esta CVE por parte de RyzerBot se basa en su reciente publicación y su puntuación CVSS ≥ 9.0, no en evidencia de explotación en curso.
Indicadores de compromiso (IOC)
No se han publicado indicadores de compromiso (IOC) en las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para verificar si tu instalación de WordPress está afectada:
- Accede al panel de administración de WordPress.
- Ve a Plugins → Plugins instalados.
- Localiza el plugin Formidable Digital Signatures.
- Comprueba el número de versión. Si es igual o inferior a 3.0.6, estás afectado.
No se proporcionan comandos de terminal en las fuentes oficiales.
Mitigación y actualización
La acción prioritaria es actualizar el plugin a la versión 3.1 o superior. El fabricante ha publicado esta versión correctiva, tal como se indica en el registro de cambios oficial:
https://formidableforms.com/changelog/digital-signature-forms-3-1/
Si no es posible actualizar de inmediato, se recomienda deshabilitar temporalmente el plugin o restringir el acceso a los formularios que acepten envíos anónimos hasta aplicar la actualización.
Checklist para administradores
- ☐ Identificar todas las instalaciones de WordPress que usan Formidable Digital Signatures.
- ☐ Verificar la versión del plugin en cada sitio.
- ☐ Actualizar a la versión 3.1 o superior.
- ☐ Revisar los registros del servidor en busca de accesos sospechosos al parámetro
item_meta[field_id][content]. - ☐ Realizar una copia de seguridad completa antes de aplicar cambios.
- ☐ Monitorizar la integridad de archivos críticos tras la actualización.
Preguntas frecuentes
¿Qué es CVE-2026-16230?
Es una vulnerabilidad crítica en el plugin Formidable Digital Signatures para WordPress que permite a atacantes no autenticados eliminar archivos del servidor.
¿Qué versiones están afectadas?
Todas las versiones del plugin hasta la 3.0.6 inclusive.
¿Cómo se soluciona?
Actualizando el plugin a la versión 3.1, publicada por el fabricante.
¿Se está explotando activamente?
No hay confirmación de explotación activa en las fuentes oficiales consultadas.
¿Cuál es la puntuación CVSS?
9.8 (CRÍTICA), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
¿Dónde puedo encontrar más información?
En las fuentes oficiales listadas a continuación.