Alerta crítica de seguridad: Se ha identificado una vulnerabilidad de ejecución arbitraria de shortcodes en el plugin Forminator Forms para WordPress, que afecta a todas las versiones hasta la 1.57.2 inclusive. Un atacante no autenticado podría explotar esta falla para ejecutar shortcodes arbitrarios en el sitio, comprometiendo la confidencialidad e integridad de los datos. Se recomienda aplicar la actualización o mitigación publicada por el fabricante de forma inmediata.
Resumen ejecutivo
| Identificador | CVE-2026-92229 |
|---|---|
| Fabricante | WPMU DEV |
| Producto | Forminator Forms – Contact Form, Payment Form & Custom Form Builder |
| Fecha de publicación | 19 de septiembre de 2026 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) |
| Prioridad RyzerBot | 205 (alta prioridad) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-92229 es una vulnerabilidad de tipo ejecución arbitraria de shortcodes (CWE-94: Control inadecuado de generación de código, «Code Injection») en el plugin Forminator Forms para WordPress. Este plugin es ampliamente utilizado para crear formularios de contacto, formularios de pago, encuestas y cuestionarios, por lo que su presencia en un sitio web es un vector de ataque especialmente atractivo.
La falla reside en que el plugin permite a los usuarios ejecutar una acción que no valida correctamente un valor antes de pasarlo a la función do_shortcode. Esto significa que un atacante podría inyectar shortcodes arbitrarios que el servidor procesaría con los privilegios del sitio web. La vulnerabilidad afecta a todas las versiones del plugin hasta la 1.57.2 inclusive.
La causa raíz se encuentra en la falta de validación de ciertos valores en los archivos de la librería de acciones frontales del plugin, concretamente en:
library/abstracts/abstract-class-front-action.php(línea 127)library/modules/quizzes/front/front-action.php(líneas 60, 837 y 870)
Estos puntos de entrada son accesibles sin necesidad de autenticación, lo que eleva la gravedad del problema al permitir que cualquier visitante del sitio pueda intentar explotarlo.
La ejecución de shortcodes arbitrarios puede tener consecuencias graves, ya que los shortcodes en WordPress pueden realizar acciones como leer archivos, ejecutar código PHP, modificar la base de datos o enviar datos a servidores externos. Aunque el vector CVSS indica un impacto alto en confidencialidad e integridad, la disponibilidad no se ve afectada directamente, lo que no reduce el riesgo real para los sitios comprometidos.
Es importante señalar que la vulnerabilidad ha sido clasificada como crítica con una puntuación CVSS de 9.1, y que el fabricante ya ha publicado un changeset en el repositorio oficial de WordPress, lo que sugiere que existe un parche o una versión corregida disponible. Se recomienda encarecidamente a los administradores de sitios que utilicen Forminator que actualicen el plugin a la última versión disponible o que apliquen las mitigaciones indicadas por el fabricante.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-92229 afecta al plugin Forminator Forms – Contact Form, Payment Form & Custom Form Builder de WPMU DEV. Según los datos publicados por CVE.org y NVD, todas las versiones del plugin hasta la 1.57.2 inclusive se consideran afectadas por esta falla crítica.
Las fuentes consultadas no publican una lista desglosada de versiones individuales más allá del rango afectado. La información disponible indica lo siguiente:
| Producto | Fabricante | Versiones afectadas | Estado |
|---|---|---|---|
| Forminator Forms – Contact Form, Payment Form & Custom Form Builder | wpmudev | Todas las versiones hasta 1.57.2 inclusive | Afectado |
No se han publicado versiones posteriores afectadas ni ramas de soporte específicas en los datos disponibles.
Impacto y riesgo
La vulnerabilidad se clasifica como CRÍTICA con una puntuación CVSS de 9.1 según el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Esto indica que el vector de ataque es de red, con complejidad de ataque baja y sin que se requieran privilegios ni interacción del usuario para explotarla.
El impacto técnico se centra en la ejecución arbitraria de shortcodes de WordPress. Un atacante no autenticado podría ejecutar shortcodes del sitio de forma remota, lo que puede derivar en una pérdida de integridad y confidencialidad de los datos disponibles en el entorno de WordPress. Según la descripción de la CVE, el fallo se debe a una validación incorrecta antes de ejecutar la función do_shortcode.
En el contexto de RyzerBot se le asigna una prioridad de 205, considerando tanto la antigüedad de la publicación (4.7 horas desde el registro) como su criticidad. Para un administrador de WordPress, esto implica una necesidad inmediata de revisión de las instancias afectadas y aplicación de las directrices oficiales del fabricante.
Estado de explotación conocida
La información publicada por NVD y CVE.org no menciona de forma explícita que la vulnerabilidad esté siendo explotada activamente en campañas reales. No hay constancia de explotación activa en los datos oficiales aportados por el contexto.
No obstante, al tratarse de una vulnerabilidad de ejecución de código no autenticada con vector de red y complejidad baja, el riesgo de explotación futura es elevado y requiere atención inmediata por parte de los administradores que tengan instalada alguna versión vulnerable del plugin.
Indicadores de compromiso (IOC)
La consulta a las fuentes oficiales (NVD y CVE.org) no arroja indicadores de compromiso (IOC) estructurados publicados para esta vulnerabilidad. El campo de IOC del enriquecimiento de datos está vacío y las referencias disponibles no incluyen direcciones IP, dominios, hashes de ficheros maliciosos ni otros indicadores técnicos.
Por tanto, no se dispone de IOC publicados por las fuentes consultadas para dar soporte a labores de detección de actividad maliciosa mediante firmas o listas negras. Los administradores deben basar la detección en la revisión de logs de actividad del plugin y en la monitorización del tráfico hacia las acciones de formularios y quizzes.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-92229, debes verificar la versión exacta del plugin Forminator Forms – Contact Form, Payment Form & Custom Form Builder que tienes activa. La vulnerabilidad afecta a todas las versiones hasta la 1.57.2 inclusive.
Pasos para la verificación
- Accede al panel de administración de WordPress.
- Navega hasta Plugins → Plugins instalados.
- Localiza la entrada de Forminator Forms en la lista.
- Comprueba el número de versión indicado en la columna «Versión» o en la ficha del plugin.
- Si la versión es 1.57.2 o inferior, tu sitio está afectado y debes aplicar las medidas de mitigación descritas a continuación.
También puedes revisar el archivo de cabecera principal del plugin, normalmente ubicado en /wp-content/plugins/forminator/forminator.php, donde la versión suele declararse en el encabezado del comentario del archivo. No obstante, la vía más fiable es la información mostrada en el propio panel de administración de WordPress.
Nota importante: Si tienes dudas sobre la versión instalada o no puedes acceder al panel de administración, contacta con tu proveedor de alojamiento o con el responsable técnico de tu sitio para que realice la comprobación.
Mitigación y actualización
La vulnerabilidad CVE-2026-92229 permite a atacantes no autenticados ejecutar shortcodes arbitrarios en el sitio, lo que puede derivar en compromiso total de la instalación. La acción recomendada es clara: revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.
En el momento de la publicación de este análisis, no se ha publicado una versión corregida que sea confirmada por las fuentes oficiales consultadas. Por tanto, las medidas de mitigación que puedes aplicar de forma inmediata son las siguientes:
Medidas inmediatas
- Desactiva el plugin si no es imprescindible para el funcionamiento de tu sitio. Esta es la medida más efectiva para eliminar la exposición mientras no exista parche.
- Monitoriza los registros del servidor en busca de peticiones sospechosas dirigidas a los archivos de Forminator, especialmente a las rutas relacionadas con la acción de quizzes y formularios frontales.
- Revisa los shortcodes registrados en tu instalación. Si algún shortcode sensible (por ejemplo, aquellos que ejecutan código o consultan la base de datos) está disponible, el impacto puede ser mayor.
- Mantente atento a las actualizaciones del plugin. Cuando el fabricante publique una versión corregida, aplícala de inmediato.
Consideraciones adicionales
Dado que el vector de ataque es remoto y no requiere autenticación (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N), cualquier sitio con el plugin activo es potencialmente explotable. La puntuación CVSS de 9.1 (CRITICAL) refleja la gravedad del problema.
Si el plugin es esencial para tu operativa (por ejemplo, si gestionas formularios de contacto o pagos), valora la posibilidad de sustituirlo temporalmente por una alternativa que no presente esta vulnerabilidad mientras se publica el parche oficial.
Checklist para administradores
- ☐ He identificado la versión exacta de Forminator instalada en mi WordPress.
- ☐ He confirmado si mi versión está dentro del rango afectado (≤ 1.57.2).
- ☐ He desactivado el plugin si no es imprescindible para mi sitio.
- ☐ He revisado los registros del servidor en busca de actividad anómala relacionada con Forminator.
- ☐ He comprobado qué shortcodes están disponibles y si alguno puede ser explotado.
- ☐ He notificado al equipo responsable del sitio sobre la existencia de esta vulnerabilidad crítica.
- ☐ He establecido un mecanismo para recibir alertas de actualización del plugin.
- ☐ He verificado que no existan otros plugins o temas con vulnerabilidades conocidas que puedan combinarse con esta.
- ☐ He realizado una copia de seguridad completa del sitio antes de aplicar cualquier cambio.
- ☐ He programado una revisión periódica para comprobar si el fabricante ha publicado una versión corregida.
Preguntas frecuentes
¿Qué es un shortcode y por qué su ejecución es peligrosa?
Un shortcode es una etiqueta de WordPress que permite ejecutar funciones o mostrar contenido dinámico. Si un atacante puede ejecutar shortcodes arbitrarios sin autenticación, podría invocar funciones sensibles, leer datos internos o modificar el contenido del sitio, comprometiendo su integridad y confidencialidad.
¿La vulnerabilidad afecta a todos los sitios con Forminator?
Sí, cualquier sitio con el plugin Forminator Forms en versión 1.57.2 o inferior es vulnerable, independientemente de la configuración o del tipo de formularios que utilice. La explotación no requiere autenticación previa.
¿Existe algún exploit público conocido?
Las fuentes consultadas (NVD y CVE.org) no publican información sobre exploits públicos en el momento de este análisis. Sin embargo, la criticidad de la vulnerabilidad y su facilidad de explotación hacen probable que aparezcan exploits en el corto plazo.
¿Puedo seguir usando Forminator si lo actualizo a una versión superior a la 1.57.2?
En el momento de la publicación, no se ha confirmado ninguna versión corregida. Si existe una versión superior a la 1.57.2, debes verificar en el aviso oficial del fabricante si incluye la corrección de esta vulnerabilidad antes de confiar en ella.
¿Qué debo hacer si ya he sido atacado?
Si sospechas que tu sitio ha sido comprometido, desactiva el plugin inmediatamente, realiza una auditoría completa de tu instalación, revisa los usuarios con privilegios elevados y restaura desde una copia de seguridad limpia si es necesario. Contacta con un profesional de seguridad si no puedes realizar estas tareas por ti mismo.
¿La vulnerabilidad afecta a los formularios de pago?
La vulnerabilidad está relacionada con la ejecución de shortcodes en la acción frontal de los quizzes y formularios. Aunque no se limita específicamente a los formularios de pago, cualquier funcionalidad del plugin que procese acciones frontales podría ser explotada. La exposición de datos de pago dependerá de los shortcodes que el atacante pueda ejecutar.
Fuentes oficiales
Para obtener información actualizada y detallada sobre esta vulnerabilidad, consulta las siguientes fuentes oficiales:
- NVD – CVE-2026-92229
- Wordfence Threat Intelligence – CVE-2026-92229
- Código fuente – abstract-class-front-action.php (línea 127)
- Código fuente – front-action.php (línea 60)
- Código fuente – front-action.php (línea 837)
- Código fuente – front-action.php (línea 870)
- WordPress Trac – Cambios en Forminator
Mantente atento a las actualizaciones del fabricante y aplica el parche oficial en cuanto esté disponible. La exposición de tu sitio a esta vulnerabilidad crítica debe tratarse con la máxima prioridad.