Resumen ejecutivo
| Campo | Detalle |
|---|---|
| CVE | CVE-2026-15369 |
| Fabricante | Addify |
| Producto | Custom User Registration Fields for WooCommerce |
| Fecha de publicación | 2026-08-29T18:16:31.840Z |
| Severidad | CRITICAL |
| CVSS v3.1 | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad (RyzerBot) | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
El plugin Custom User Registration Fields for WooCommerce para WordPress presenta un fallo de escalada de privilegios (CWE-269) en su función af_reg_checkout_data_to_order_meta_data_block(). Esta función acepta un valor afreg_select_user_role controlado por el atacante desde la API pública de WooCommerce /wc/store/v1/checkout sin validar contra la lista de roles permitidos configurada por el administrador.
Posteriormente, en af_reg_custom_order_processing_function() (enganchada a woocommerce_thankyou), ese valor se pasa directamente a WP_User::add_role(), permitiendo que un usuario no autenticado se registre como administrator (o cualquier otro rol) simplemente modificando el cuerpo JSON de la petición de checkout.
Requisito previo: La explotación solo es posible si el ajuste «User Role Selection» está activado en la configuración del plugin.
Productos y versiones vulnerables
| Fabricante | Producto | Versiones afectadas | Estado |
|---|---|---|---|
| Addify | Custom User Registration Fields for WooCommerce | Todas las versiones ≤ 2.2.3 (incluida) | Afectado |
No se han publicado versiones parcheadas en las fuentes consultadas en el momento de redactar este informe.
Impacto y riesgo
- Confidencialidad, integridad y disponibilidad: ALTO (CVSS 9.8). Un atacante puede tomar el control total del sitio WordPress.
- Vector de ataque: RED (AV:N), sin necesidad de autenticación (PR:N) ni interacción del usuario (UI:N).
- Superficie de exposición: Cualquier tienda WooCommerce con el plugin activo y la opción «User Role Selection» habilitada.
- Consecuencias: Creación de cuentas de administrador, instalación de plugins maliciosos, robo de datos de clientes, desfiguración del sitio, uso como pivote para ataques internos.
Estado de explotación conocida
⚠️ No hay constancia de explotación activa en las fuentes oficiales consultadas (NVD, CVE.org, Wordfence). La selección de esta CVE por RyzerBot se basa en su publicación reciente, criticidad CVSS ≥ 9.0 y relevancia, no en evidencia de explotación en la naturaleza.
Indicadores de compromiso (IOC)
🔍 No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse. Se recomienda monitorizar los registros de checkout y creación de usuarios en busca de roles inesperados.
Cómo comprobar si estás afectado
- Verifica si el plugin Custom User Registration Fields for WooCommerce está instalado y activo en tu WordPress.
- Comprueba la versión del plugin: si es 2.2.3 o anterior, eres vulnerable.
- Revisa la configuración del plugin: si la opción «User Role Selection» está habilitada, el vector de ataque está abierto.
- Inspecciona los usuarios recientes con rol de administrador creados a través de pedidos de WooCommerce (revisa la tabla
wp_usersywp_usermetapara rolesadministratorcon fechas coincidentes con checkouts).
No se proporcionan comandos específicos porque dependen del entorno de hosting y acceso (WP-CLI, panel de control, base de datos).
Mitigación y actualización
- Actualización inmediata: Aplica el parche oficial tan pronto como Addify publique una versión corregida (superior a 2.2.3).
- Mitigación temporal: Desactiva la opción «User Role Selection» en los ajustes del plugin hasta que actualices.
- Medida de contención: Si no es posible actualizar ni desactivar la opción, considera desactivar el plugin completo temporalmente.
- Revisión post-incidente: Audita las cuentas de administrador creadas recientemente y revoca las sospechosas.
Checklist para administradores
- ☐ Confirmar versión del plugin ≤ 2.2.3
- ☐ Verificar si «User Role Selection» está habilitado
- ☐ Buscar actualización oficial en página del producto
- ☐ Aplicar parche o desactivar la opción/el plugin
- ☐ Auditar cuentas de administrador creadas en las últimas 48-72 horas
- ☐ Revisar logs de checkout y API REST en busca de peticiones anómalas con
afreg_select_user_role - ☐ Comunicar al equipo de seguridad y documentar acciones
Preguntas frecuentes
- ¿Qué versiones exactas son vulnerables?
- Todas las versiones desde la inicial hasta la 2.2.3 inclusive.
- ¿Es explotable si «User Role Selection» está desactivado?
- No. La vulnerabilidad requiere que esa opción esté habilitada.
- ¿Hay parche disponible ya?
- En el momento de esta publicación no se ha informado de versión corregida. Monitoriza la página del fabricante.
- ¿Puedo mitigar sin actualizar?
- Sí, desactivando la opción «User Role Selection» o desactivando el plugin completo.
- ¿Qué debo hacer si ya fui comprometido?
- Revoca sesiones, cambia contraseñas, elimina cuentas de administrador no autorizadas, restaura desde backup limpio y actualiza.
- ¿Afecta a otros plugins de registro de usuarios?
- Esta CVE es específica de Custom User Registration Fields for WooCommerce de Addify. Otros plugins no están implicados salvo que compartan código vulnerable.