Alerta crítica: Se ha publicado la CVE-2026-87796, una vulnerabilidad de subida de archivos arbitrarios en el plugin Multi Uploader for Gravity Forms para WordPress, que afecta a todas las versiones hasta la 1.1.9 inclusive. Un atacante no autenticado podría explotar esta falla para ejecutar código remoto en el servidor. Se recomienda aplicar la actualización o mitigación publicada por el fabricante de forma inmediata.
Resumen ejecutivo
| CVE | CVE-2026-87796 |
|---|---|
| Fabricante | sh1zen |
| Producto | Multi Uploader for Gravity Forms |
| Fecha de publicación | 2026-09-17 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Prioridad RyzerBot | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La CVE-2026-87796 es una vulnerabilidad de tipo subida de archivos arbitrarios (CWE-434: Unrestricted Upload of File with Dangerous Type) que afecta al plugin Multi Uploader for Gravity Forms, desarrollado por sh1zen. Este plugin permite a los administradores de WordPress añadir funcionalidades de subida múltiple de archivos a los formularios creados con Gravity Forms.
El fallo se localiza en la función move_file, que forma parte del proceso de gestión de subidas por fragmentos (chunked uploads). Según la descripción técnica publicada en NVD y CVE.org, la función no realiza una validación suficiente del tipo de archivo durante el manejo de estas subidas segmentadas. Esto significa que un atacante podría manipular las peticiones HTTP para enviar archivos con extensiones peligrosas —como .php, .phtml u otras ejecutables— que el plugin aceptaría y almacenaría en el servidor sin filtros adecuados.
La causa raíz es la falta de comprobaciones robustas de la extensión y el contenido real del archivo durante el proceso de subida por fragmentos. En lugar de verificar que el archivo final corresponde a un tipo permitido (por ejemplo, imágenes o documentos), el plugin confía en la información proporcionada por el cliente, lo que permite a un atacante no autenticado enviar archivos maliciosos.
La vulnerabilidad ha sido clasificada con una puntuación CVSS de 9.8, lo que la sitúa en el rango de criticidad máxima. El vector CVSS asociado es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, lo que indica que:
- AV:N — La red es el vector de ataque; no se requiere acceso físico ni local.
- AC:L — La complejidad del ataque es baja; no se requieren condiciones especiales.
- PR:N — No se requieren privilegios previos; el atacante no necesita estar autenticado.
- UI:N — No se requiere interacción del usuario para explotar la vulnerabilidad.
- S:U — El impacto está limitado al componente afectado, sin comprometer otros recursos del sistema.
- C:H/I:H/A:H — Impacto alto en confidencialidad, integridad y disponibilidad.
La combinación de acceso no autenticado, baja complejidad y alto impacto hace que esta vulnerabilidad sea especialmente peligrosa, ya que cualquier sitio WordPress que tenga instalado el plugin en una versión afectada podría ser comprometido por un atacante remoto sin credenciales.
No se ha publicado información sobre exploits públicos en las fuentes consultadas, pero la naturaleza de la vulnerabilidad y la facilidad de explotación sugieren que podría ser objetivo de ataques automatizados en un corto período de tiempo.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-87796 afecta al plugin Multi Uploader for Gravity Forms desarrollado por sh1zen para WordPress. Según los datos publicados por CVE.org y NVD, todas las versiones del plugin hasta la 1.1.9 inclusive se consideran afectadas.
| Producto | Fabricante | Versiones afectadas | Estado |
|---|---|---|---|
| Multi Uploader for Gravity Forms | sh1zen | Todas las versiones hasta 1.1.9 (inclusive) | Afectado |
No se ha publicado información sobre versiones posteriores corregidas en las fuentes consultadas. Se recomienda consultar el repositorio oficial del plugin en WordPress.org para verificar si existe una actualización disponible que resuelva esta vulnerabilidad.
Impacto y riesgo
La vulnerabilidad CVE-2026-87796 presenta una puntuación CVSS v3.1 de 9.8 (CRITICAL) con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto indica que un atacante remoto no autenticado puede explotar la vulnerabilidad sin necesidad de interacción del usuario, comprometiendo la confidencialidad, integridad y disponibilidad del sistema.
La causa raíz se encuentra en la función move_file, que presenta una validación insuficiente del tipo de archivo durante el manejo de subidas fragmentadas (chunked upload). Esta deficiencia permite a atacantes no autenticados subir archivos arbitrarios al servidor afectado, lo que puede derivar en la ejecución remota de código (RCE).
El impacto potencial incluye:
- Compromiso total del sitio web: un atacante podría subir un webshell o script malicioso y ejecutarlo en el servidor.
- Acceso a datos sensibles: la confidencialidad se ve comprometida (C:H), permitiendo el acceso a información almacenada en el servidor.
- Alteración de contenido: la integridad se ve afectada (I:H), pudiendo modificar archivos, bases de datos o inyectar contenido malicioso.
- Disponibilidad del servicio: la disponibilidad se ve comprometida (A:H), pudiendo provocar la caída del sitio o su uso para otros fines maliciosos.
Dado que el vector de ataque es de red (AV:N) y no requiere privilegios (PR:N), cualquier sitio WordPress que utilice este plugin en una versión vulnerable está expuesto a un riesgo crítico de compromiso total.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre la explotación activa de esta vulnerabilidad en entornos reales. La descripción técnica indica que la vulnerabilidad es explotable por atacantes no autenticados, pero no se confirma si ha sido utilizada en campañas de ataque conocidas.
No obstante, la criticidad de la vulnerabilidad (CVSS 9.8) y la facilidad de explotación (sin autenticación, vector de red) hacen que sea un objetivo atractivo para atacantes. Se recomienda aplicar las actualizaciones o mitigaciones publicadas por el fabricante con carácter urgente, sin esperar a que se confirme la explotación activa.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas para esta vulnerabilidad. El campo enrichment.ioc se encuentra vacío, por lo que no se dispone de direcciones IP, hashes de archivos, dominios u otros indicadores técnicos que permitan detectar actividad maliciosa relacionada con CVE-2026-87796.
Se recomienda monitorizar los directorios de subida de archivos del plugin y revisar los registros del servidor en busca de subidas de archivos inusuales o con extensiones peligrosas (PHP, JSP, etc.) que puedan indicar un intento de explotación.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-87796, debes verificar la versión del plugin Multi Uploader for Gravity Forms que tienes activa. La vulnerabilidad afecta a todas las versiones hasta la 1.1.9 inclusive.
Pasos para verificar tu instalación
- Accede al panel de administración de WordPress y navega hasta
Plugins → Plugins instalados. - Localiza «Multi Uploader for Gravity Forms» en la lista de plugins instalados.
- Comprueba el número de versión que se muestra junto al nombre del plugin. Si la versión es 1.1.9 o inferior, tu sitio está afectado.
- Verifica si el plugin está activo. Si está desactivado pero presente en el servidor, la exposición es menor, pero se recomienda eliminarlo o actualizarlo igualmente.
Nota importante: No se han publicado versiones corregidas en las fuentes consultadas. Si tu versión es vulnerable, consulta el aviso del fabricante y aplica las mitigaciones descritas en la siguiente sección.
Mitigación y actualización
En el momento de la publicación de este análisis, no se ha identificado una versión corregida del plugin Multi Uploader for Gravity Forms en las fuentes oficiales consultadas. La vulnerabilidad CVE-2026-87796 permite a atacantes no autenticados subir archivos arbitrarios al servidor, lo que puede derivar en ejecución remota de código.
Medidas de mitigación recomendadas
- Desactivar y eliminar el plugin si no es imprescindible para el funcionamiento del sitio. Esta es la medida más segura hasta que se publique una actualización.
- Restringir el acceso al directorio de subida mediante reglas en el servidor web o en el firewall de aplicación web (WAF) para bloquear la ejecución de archivos PHP en los directorios de uploads.
- Monitorizar los directorios de subida en busca de archivos sospechosos, especialmente archivos con extensiones ejecutables como
.php,.phtmlo.php5. - Revisar los registros de acceso del servidor para detectar intentos de subida anómalos o peticiones dirigidas a los archivos del plugin mencionados en las referencias.
- Mantener el núcleo de WordPress y el resto de plugins actualizados para reducir la superficie de ataque general.
Advertencia: Dado el nivel de criticidad (CVSS 9.8) y la facilidad de explotación (sin autenticación), se recomienda aplicar las mitigaciones de forma inmediata si el plugin está activo en tu sitio.
Checklist para administradores
- ☐ He verificado la versión del plugin Multi Uploader for Gravity Forms instalada en mi WordPress.
- ☐ He confirmado si mi versión está dentro del rango afectado (≤ 1.1.9).
- ☐ He desactivado el plugin si no es imprescindible para mi sitio.
- ☐ He eliminado el plugin si no lo utilizo o si existe una alternativa segura.
- ☐ He configurado reglas en el servidor o WAF para bloquear la ejecución de archivos en los directorios de subida.
- ☐ He revisado los directorios de uploads en busca de archivos sospechosos o no reconocidos.
- ☐ He revisado los registros de acceso del servidor en busca de peticiones anómalas relacionadas con el plugin.
- ☐ He comprobado si existen otros plugins de subida de archivos con vulnerabilidades similares.
- ☐ He establecido un recordatorio para revisar periódicamente si el fabricante publica una versión corregida.
- ☐ He informado al equipo de desarrollo o al responsable del sitio sobre esta vulnerabilidad.
Preguntas frecuentes
¿Qué es CVE-2026-87796?
Es una vulnerabilidad crítica de subida arbitraria de archivos en el plugin Multi Uploader for Gravity Forms para WordPress, que afecta a todas las versiones hasta la 1.1.9. Permite a atacantes no autenticados subir archivos maliciosos al servidor, lo que podría derivar en ejecución remota de código.
¿Qué puntuación CVSS tiene esta vulnerabilidad?
La vulnerabilidad tiene una puntuación CVSS v3.1 de 9.8 (Crítica), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto indica que es explotable de forma remota, sin autenticación y con impacto total en confidencialidad, integridad y disponibilidad.
¿Qué versión debo instalar para estar protegido?
No se ha publicado una versión corregida en las fuentes oficiales consultadas. Hasta que el fabricante publique una actualización, se recomienda desactivar y eliminar el plugin o aplicar las mitigaciones descritas anteriormente.
¿Cómo puedo saber si mi sitio ya ha sido comprometido?
Revisa los directorios de subida de archivos en busca de archivos PHP sospechosos, analiza los registros de acceso del servidor en busca de peticiones anómalas y verifica si existen cuentas de usuario nuevas o modificaciones no autorizadas en el sitio.
¿Esta vulnerabilidad afecta a todos los sitios con Gravity Forms?
No. Solo afecta a los sitios que tienen instalado y activo el plugin Multi Uploader for Gravity Forms en una versión igual o inferior a la 1.1.9. Gravity Forms en sí no es vulnerable a esta CVE.
¿Qué es CWE-434?
Es la clasificación de debilidad común para «Restricción incorrecta de subida de archivos con tipo peligroso». Esta categoría incluye vulnerabilidades donde el software no restringe adecuadamente los tipos de archivo que se pueden subir, permitiendo la ejecución de código arbitrario.
Fuentes oficiales
Para obtener información adicional y actualizaciones sobre esta vulnerabilidad, consulta las siguientes fuentes oficiales:
- NVD – Detalle de CVE-2026-87796
- Wordfence – Inteligencia de amenazas para CVE-2026-87796
- Código fuente del plugin – GFMUAddon.class.php (línea 125)
- Código fuente del plugin – GFMUHandlePluploader.class.php (línea 257)
- Código fuente del plugin – GFMU_FileUploader.php (línea 319)
- Código fuente del plugin – GFMU_FileUploader.php (línea 322)
- Código fuente del plugin – GFMU_FileUploader.php (línea 560)
Se recomienda revisar periódicamente estas fuentes para conocer cuándo el fabricante publica una actualización que corrija esta vulnerabilidad.