CVE-2026-14484: Vulnerabilidad crítica en RapiSafe para WordPress

🚨 Alerta crítica de ciberseguridad: Se ha publicado la vulnerabilidad CVE-2026-14484, que afecta al plugin RapiSafe – Secure Multi File Upload for Contact Form 7 para WordPress. Con una puntuación CVSS de 9.1, permite a atacantes no autenticados eliminar archivos arbitrarios en el servidor, pudiendo derivar en ejecución remota de código. Se recomienda aplicar la actualización o mitigación proporcionada por el fabricante.

Cadena de riesgo y respuesta para CVE-2026-14484

Resumen ejecutivo

Campo	Valor
CVE	CVE-2026-14484
Fabricante	pietror91 (desarrollador del plugin)
Producto	RapiSafe – Secure Multi File Upload for Contact Form 7
Fecha de publicación	15 de agosto de 2026
Severidad	CRÍTICA
CVSS	9.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H)
Puntuación de prioridad	235
Acción recomendada	Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.

Qué es la vulnerabilidad

La vulnerabilidad CVE-2026-14484 reside en el plugin RapiSafe – Secure Multi File Upload for Contact Form 7 para WordPress, en todas las versiones hasta la 1.0.4 inclusive. Se debe a una validación insuficiente de la ruta de archivo en la función handleAjaxRemoveUpload, lo que permite a atacantes no autenticados eliminar archivos arbitrarios en el servidor.

El fallo se clasifica como CWE-22: Limitación incorrecta de un nombre de ruta a un directorio restringido (Path Traversal). El vector de ataque es remoto, no requiere autenticación ni interacción del usuario, y tiene una complejidad baja. La exposición del nonce necesario para invocar el controlador de eliminación se realiza a través del JavaScript público como RSMFCF7Vars.nonce en cada página de Contact Form 7 que muestre un campo de carga de RapiSafe, lo que lo hace accesible a cualquier visitante no autenticado.

Productos y versiones vulnerables

Según la información publicada por CVE.org, el producto afectado es:

Producto	Versión afectada
RapiSafe – Secure Multi File Upload for Contact Form 7	Todas las versiones hasta 1.0.4 inclusive

No se han publicado otras versiones o productos afectados por las fuentes consultadas.

Impacto y riesgo

El impacto de esta vulnerabilidad es crítico. Un atacante no autenticado puede eliminar archivos arbitrarios en el servidor, lo que puede conducir a una denegación de servicio o, si se elimina un archivo crítico como wp-config.php, a una ejecución remota de código. La puntuación CVSS de 9.1 refleja la alta disponibilidad del ataque (red, baja complejidad, sin autenticación) y el alto impacto en integridad y disponibilidad.

La exposición del nonce en el front-end hace que el ataque sea trivial de ejecutar para cualquier visitante del sitio que tenga un campo de carga de RapiSafe.

Estado de explotación conocida

No se ha publicado información sobre explotación activa de esta vulnerabilidad en las fuentes consultadas. La selección de esta CVE por parte de RyzerBot se basa en su reciente publicación y su puntuación CVSS superior a 9.0, no en evidencia de explotación en curso.

Indicadores de compromiso (IOC)

No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.

Cómo comprobar si estás afectado

Para determinar si tu instalación de WordPress está afectada, verifica la versión del plugin RapiSafe – Secure Multi File Upload for Contact Form 7 instalada. Si es igual o inferior a 1.0.4, estás en riesgo. Puedes consultar la versión desde el panel de administración de WordPress, en la sección de plugins.

Mitigación y actualización

La acción recomendada por las fuentes oficiales es revisar el aviso del fabricante y aplicar la actualización o mitigación publicada. Hasta que se publique una versión corregida, se puede considerar deshabilitar temporalmente el plugin o eliminar los campos de carga de RapiSafe de los formularios de Contact Form 7 para reducir la superficie de ataque.

Checklist para administradores

☐ Identificar la versión del plugin RapiSafe – Secure Multi File Upload for Contact Form 7 instalada.
☐ Si la versión es ≤ 1.0.4, considerar la desactivación temporal del plugin.
☐ Revisar los avisos oficiales del fabricante y de WordPress para obtener actualizaciones.
☐ Aplicar la actualización tan pronto esté disponible.
☐ Monitorizar los registros del servidor en busca de actividad sospechosa relacionada con eliminación de archivos.
☐ Reforzar la seguridad del archivo wp-config.php (permisos, copias de seguridad).

Preguntas frecuentes

¿Qué es CVE-2026-14484?

Es una vulnerabilidad crítica de eliminación arbitraria de archivos en el plugin RapiSafe para Contact Form 7 de WordPress, con un CVSS de 9.1.

¿Qué versiones están afectadas?

Todas las versiones del plugin hasta la 1.0.4 inclusive.

¿Se requiere autenticación para explotar la vulnerabilidad?

No, la vulnerabilidad puede ser explotada por atacantes no autenticados.

¿Cómo puedo protegerme?

Revisa el aviso oficial del fabricante y aplica la actualización o mitigación publicada. Mientras tanto, considera desactivar el plugin.

¿Hay evidencia de explotación activa?

No, las fuentes consultadas no indican explotación activa en este momento.

¿Dónde puedo encontrar más información?

En las fuentes oficiales listadas a continuación, incluyendo el aviso de Wordfence y el repositorio de plugins de WordPress.