🚨 Alerta de seguridad: Se ha publicado la vulnerabilidad CVE-2026-18316 que afecta al plugin Solace Extra para WordPress en versiones hasta la 1.6.0 inclusive. Con una puntuación CVSS de 9.1 (CRÍTICA), permite a atacantes autenticados (incluyendo suscriptores) eliminar menús, widgets, modificaciones del tema y plantillas de Elementor, así como importar contenido demo arbitrario. Se recomienda aplicar la actualización o mitigación de inmediato.
Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-18316 |
| Fabricante | PHP Group (plugin Solace Extra de solacewp) |
| Producto | Solace Extra para WordPress |
| Fecha de publicación | 2026-08-16 |
| Severidad | CRÍTICA |
| CVSS | 9.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H) |
| Puntuación de prioridad | 185 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-18316 reside en el plugin Solace Extra para WordPress, en versiones hasta la 1.6.0 inclusive. Se trata de una falta de comprobación de capacidades (missing capability check) en la función import_zip(). El controlador está registrado tanto en wp_ajax_action-import-zip como en wp_ajax_nopriv_action-import-zip, y solo verifica el nonce ajax-nonce. Este nonce se emite en todas las páginas de administración a través del hook admin_enqueue_scripts (sin restricciones), por lo que cualquier usuario autenticado, incluidos los suscriptores, puede acceder a él.
Esto permite a atacantes autenticados con nivel de suscriptor o superior realizar las siguientes acciones sin autorización:
- Eliminar menús de navegación.
- Eliminar widgets de la barra lateral (mediante
update_option('sidebars_widgets', array())). - Eliminar todas las modificaciones del tema (
remove_theme_mods()). - Eliminar plantillas de Elementor.
- Desencadenar importaciones arbitrarias de contenido demo.
La vulnerabilidad está clasificada como CWE-862: Missing Authorization (Autorización faltante).
Productos y versiones vulnerables
| Producto | Versión afectada |
|---|---|
| Solace Extra (plugin WordPress) | Hasta 1.6.0 inclusive |
Según las fuentes consultadas, no se han publicado versiones específicas no afectadas. Se recomienda actualizar a la versión más reciente disponible o aplicar las mitigaciones indicadas por el fabricante.
Impacto y riesgo
El impacto de esta vulnerabilidad es alto en integridad y disponibilidad, con una puntuación de impacto de 5.2 según CVSS. No afecta a la confidencialidad (C:N). Un atacante autenticado con privilegios mínimos (suscriptor) puede causar daños significativos en la configuración del sitio, eliminando elementos esenciales como menús, widgets y plantillas. Además, puede importar contenido demo no deseado, lo que podría alterar la apariencia y funcionalidad del sitio.
La explotabilidad es alta (puntuación 3.9) ya que el ataque se realiza a través de la red, no requiere interacción del usuario ni privilegios especiales más allá de estar autenticado. No se requiere ninguna acción por parte de la víctima.
Estado de explotación conocida
No publicado por las fuentes consultadas. La selección de esta CVE se basa en su publicación reciente y su puntuación CVSS crítica (9.1), no en evidencia de explotación activa. No se debe asumir explotación sin confirmación oficial.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse. Si se detectan actividades anómalas relacionadas con la eliminación de menús, widgets o modificaciones del tema, se recomienda investigar los registros de actividad de WordPress y las solicitudes AJAX.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable:
- Accede al panel de administración de WordPress.
- Ve a Plugins y localiza Solace Extra.
- Comprueba la versión instalada. Si es igual o inferior a 1.6.0, estás afectado.
- Revisa si hay actualizaciones disponibles para el plugin.
No se proporcionan comandos específicos en las fuentes oficiales.
Mitigación y actualización
La acción recomendada por las fuentes es: Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.
Dado que la vulnerabilidad afecta a versiones hasta la 1.6.0, se debe actualizar el plugin Solace Extra a la versión más reciente disponible (si existe) o aplicar parches proporcionados por el desarrollador. Las referencias incluyen cambiosets en el repositorio de WordPress que pueden contener la corrección.
Como medida temporal, se puede deshabilitar el plugin si no es esencial, o restringir el acceso a las funciones AJAX mediante reglas de firewall de aplicación web (WAF) o modificando las capacidades de los usuarios.
Checklist para administradores
- ☐ Identificar la versión del plugin Solace Extra instalada.
- ☐ Si la versión es ≤ 1.6.0, considerar el sitio como vulnerable.
- ☐ Actualizar el plugin a la última versión disponible (si existe).
- ☐ Revisar los registros de actividad en busca de acciones no autorizadas en menús, widgets o temas.
- ☐ Verificar que los usuarios con rol de suscriptor no tengan permisos excesivos.
- ☐ Implementar un WAF para bloquear solicitudes AJAX maliciosas relacionadas con
action-import-zip. - ☐ Mantener copias de seguridad recientes del sitio y la base de datos.
- ☐ Monitorear las fuentes oficiales para nuevas actualizaciones o parches.
Preguntas frecuentes
¿Qué es CVE-2026-18316?
Es una vulnerabilidad crítica en el plugin Solace Extra para WordPress que permite a atacantes autenticados modificar y eliminar datos sin autorización.
¿Qué versiones están afectadas?
Todas las versiones hasta la 1.6.0 inclusive.
¿Necesito ser administrador para explotarla?
No, cualquier usuario autenticado, incluso con rol de suscriptor, puede explotarla.
¿Hay actualización disponible?
Las fuentes no confirman una versión corregida específica, pero se recomienda buscar actualizaciones en el repositorio de WordPress o contactar al desarrollador.
¿Cómo puedo protegerme si no puedo actualizar?
Deshabilite el plugin temporalmente o restrinja el acceso a las funciones AJAX mediante un WAF o modificando las capacidades de los usuarios.
¿Se ha explotado activamente esta vulnerabilidad?
No publicado por las fuentes consultadas. No se debe asumir explotación activa.