Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-15748 |
| Fabricante | PHP Group (plugin Forminator Forms de wpmudev) |
| Producto | Forminator Forms – Contact Form, Payment Form & Custom Form Builder |
| Fecha de publicación | 2026-08-18 |
| Severidad | CRÍTICA |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad CVE-2026-15748
La vulnerabilidad CVE-2026-15748 afecta al plugin Forminator Forms para WordPress, utilizado para crear formularios de contacto, pago y otros. Se trata de una falla de subida arbitraria de archivos (CWE-434) en la función handle_file_upload. El problema radica en que la lista negra de extensiones peligrosas realiza una comparación exacta de claves, la cual puede ser eludida mediante claves MIME alternativas con tuberías (pipe). Además, el manejador de envíos públicos confía en la configuración del campo de subida controlada por el atacante, inyectada a través de un valor falsificado en un campo Select. Esto permite a atacantes no autenticados subir archivos potencialmente ejecutables, posibilitando la ejecución remota de código.
Productos y versiones vulnerables
Según las fuentes consultadas, el producto afectado es:
| Producto | Versión afectada |
|---|---|
| Forminator Forms – Contact Form, Payment Form & Custom Form Builder | Todas las versiones hasta 1.56.1 inclusive |
No se han publicado otras versiones o productos afectados en las fuentes consultadas.
Impacto y riesgo
La vulnerabilidad tiene un impacto crítico con una puntuación CVSS de 9.8. El vector de ataque es remoto, no requiere autenticación ni interacción del usuario, y la complejidad del ataque es baja. Un atacante puede explotar esta falla para:
- Subir archivos ejecutables al servidor.
- Ejecutar código remoto (RCE).
- Comprometer la confidencialidad, integridad y disponibilidad del sistema.
Estado de explotación conocida
No publicado por las fuentes consultadas. La selección de esta vulnerabilidad se basa en su publicación reciente y su puntuación CVSS superior a 9.0, no en evidencia de explotación activa.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress está afectada:
- Accede al panel de administración de WordPress.
- Ve a Plugins y localiza Forminator Forms.
- Comprueba la versión instalada. Si es igual o inferior a 1.56.1, estás afectado.
- También puedes revisar el archivo
readme.txtdel plugin o consultar la página de plugins en el repositorio oficial.
Mitigación y actualización
La acción recomendada es:
- Actualizar el plugin Forminator Forms a la versión más reciente disponible (posterior a 1.56.1).
- Revisar el aviso oficial del fabricante (wpmudev) para obtener parches o mitigaciones adicionales.
- Como medida temporal, deshabilitar la funcionalidad de subida de archivos en los formularios si no es imprescindible.
Checklist para administradores
- ☐ Identificar la versión de Forminator Forms instalada.
- ☐ Actualizar el plugin a la versión más reciente.
- ☐ Revisar los registros del servidor en busca de subidas de archivos sospechosas.
- ☐ Verificar que no existan archivos no autorizados en el directorio de subidas.
- ☐ Aplicar las mitigaciones recomendadas por el fabricante.
- ☐ Mantener monitorizada la CVE para posibles actualizaciones.
Preguntas frecuentes
¿Qué es CVE-2026-15748?
Es una vulnerabilidad crítica de subida arbitraria de archivos en el plugin Forminator Forms para WordPress, que permite ejecución remota de código.
¿Qué versiones están afectadas?
Todas las versiones hasta la 1.56.1 inclusive.
¿Necesito autenticarme para explotar esta vulnerabilidad?
No, la vulnerabilidad puede ser explotada por atacantes no autenticados.
¿Hay algún parche disponible?
Se recomienda actualizar a la versión más reciente del plugin. Consulta el repositorio oficial de WordPress o el sitio del fabricante.
¿Cómo puedo saber si mi sitio ha sido comprometido?
Revisa los archivos subidos recientemente, los registros del servidor y busca actividad inusual en los formularios.
¿Debo deshabilitar el plugin mientras tanto?
Si no puedes actualizar inmediatamente, considera deshabilitar la funcionalidad de subida de archivos en los formularios como medida temporal.