Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-19658, que afecta al plugin Give Tributes de WordPress en todas las versiones hasta la 2.3.1 inclusive. Esta falla de tipo Inyección de Objetos PHP (CWE-502) permite a atacantes no autenticados inyectar objetos arbitrarios mediante la deserialización de entrada no confiable, con un impacto potencial de ejecución de código, borrado de archivos o exfiltración de datos si existe una cadena POP en el sistema. La puntuación CVSS es de 9.8 (Crítico).
Resumen ejecutivo
| CVE | CVE-2026-19658 |
|---|---|
| Fabricante | LiquidWeb |
| Producto | Give Tributes |
| Fecha de publicación | 2026-09-22 |
| Severidad | CRÍTICA |
| CVSS | 9.8 (Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 220 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
La vulnerabilidad CVE-2026-19658 afecta al plugin Give Tributes de WordPress, desarrollado por LiquidWeb, en todas las versiones hasta la 2.3.1 inclusive. Se trata de un caso de deserialización de datos no confiables (CWE-502) que permite a un atacante no autenticado inyectar objetos PHP arbitrarios en el sistema. Aunque el software vulnerable no incluye una cadena POP (Property-Oriented Programming) conocida, la presencia de otros plugins o temas con cadenas POP podría permitir al atacante ejecutar código, eliminar archivos o acceder a datos sensibles.
La explotación requiere que la opción «Allow Multiple Recipients» esté habilitada en el formulario de donación, mientras que la opción «Custom Message» de la eCard debe estar deshabilitada (que es el valor predeterminado del plugin). La puntuación CVSS de 9.8 refleja la gravedad del impacto potencial, con un vector de ataque de red, complejidad baja y sin requisitos de autenticación ni interacción del usuario.
Qué es la vulnerabilidad
La CVE-2026-19658 es una vulnerabilidad de Inyección de Objetos PHP (PHP Object Injection) que se produce por la deserialización insegura de entrada no confiable en el plugin Give Tributes. Este tipo de fallo, clasificado como CWE-502 (Deserialization of Untrusted Data), ocurre cuando una aplicación toma datos proporcionados por el usuario y los pasa directamente a una función de deserialización como unserialize() sin una validación adecuada.
En este caso, el plugin procesa ciertos campos del formulario de donación que permiten múltiples destinatarios. Cuando la opción «Allow Multiple Recipients» está activa, la entrada del usuario se deserializa sin saneamiento suficiente. Un atacante podría manipular esta entrada para inyectar un objeto PHP serializado malicioso que, al ser deserializado, podría desencadenar comportamientos no deseados en la aplicación.
Es importante destacar que la vulnerabilidad no tiene impacto directo por sí sola si no existe una cadena POP (Property-Oriented Programming) en el sistema. Una cadena POP es una secuencia de propiedades y métodos mágicos presentes en otras clases del código (por ejemplo, en otros plugins o temas instalados) que, al ser invocadas durante la deserialización, permiten ejecutar acciones maliciosas como:
- Eliminar archivos arbitrarios del servidor.
- Recuperar datos sensibles.
- Ejecutar código arbitrario.
La gravedad de esta vulnerabilidad radica en que el vector de ataque es remoto, no requiere autenticación y tiene una complejidad de explotación baja. Además, el impacto potencial en la confidencialidad, integridad y disponibilidad es alto, lo que justifica la puntuación CVSS de 9.8.
Existen dos condiciones adicionales que limitan la explotación:
- La opción «Allow Multiple Recipients» debe estar habilitada en el formulario de donación. Si está deshabilitada, la ruta de código aplica
sanitize_textarea_field(), que neutraliza la carga útil. - La opción «Custom Message» de la eCard debe estar deshabilitada (configuración predeterminada). Si está habilitada, el mensaje personalizado se convierte en un campo obligatorio y la función
give_clean()de GiveWP elimina la entrada serializada durante la validación, lo que provoca que la donación sea rechazada antes de almacenarse.
Dado que la vulnerabilidad afecta a todas las versiones hasta la 2.3.1 inclusive, se recomienda encarecidamente a los administradores de sitios WordPress que utilicen este plugin que revisen la configuración de sus formularios y apliquen las actualizaciones o mitigaciones proporcionadas por el fabricante lo antes posible.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-19658 afecta al plugin Give Tributes de LiquidWeb para WordPress. Según los datos publicados por CVE.org y NVD, todas las versiones del plugin hasta la 2.3.1 inclusive están afectadas. No se ha publicado información sobre versiones anteriores específicas, pero el rango indicado cubre todas las versiones hasta la mencionada.
| Producto | Fabricante | Versiones afectadas | Última versión afectada |
|---|---|---|---|
| Give Tributes (plugin WordPress) | LiquidWeb | Todas las versiones hasta 2.3.1 inclusive | 2.3.1 |
No se han publicado versiones anteriores específicas más allá del rango indicado. Se recomienda consultar el aviso oficial del fabricante para obtener información sobre la versión corregida o las mitigaciones disponibles.
Impacto y riesgo
La vulnerabilidad tiene una puntuación CVSS v3.1 de 9.8 (CRITICAL) con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto indica que el ataque puede realizarse de forma remota, sin autenticación previa y sin interacción del usuario, con un impacto alto en la confidencialidad, integridad y disponibilidad del sistema.
La causa raíz es una inyección de objetos PHP (CWE-502) mediante la deserialización de entrada no confiable. El plugin no contiene una cadena POP (Property-Oriented Programming) conocida, por lo que el impacto real depende de la presencia de otros plugins o temas instalados en el sitio que sí contengan una cadena POP explotable. Si existe dicha cadena, un atacante no autenticado podría:
- Eliminar archivos arbitrarios del servidor.
- Recuperar datos sensibles almacenados en el sitio.
- Ejecutar código arbitrario en el servidor, dependiendo de la cadena POP presente.
Es importante señalar que la explotación no es trivial en todos los escenarios. Se requieren condiciones específicas:
- La opción «Allow Multiple Recipients» debe estar habilitada en el formulario de donación. En el flujo de un solo destinatario, la función
sanitize_textarea_field()neutraliza la carga útil. - La opción eCard «Custom Message» debe estar deshabilitada (que es el valor predeterminado del plugin). Si está habilitada, el mensaje personalizado se convierte en un campo obligatorio y la función
give_clean()de GiveWP elimina la entrada serializada durante la validación, provocando que la donación sea rechazada antes de almacenarse.
El riesgo real para un sitio depende de la combinación de estos factores y de la presencia de otros componentes con cadenas POP. Aun así, la criticidad asignada (9.8) y la posibilidad de ejecución remota de código justifican una atención inmediata.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información que confirme explotación activa de esta vulnerabilidad en entornos reales. La descripción técnica detalla las condiciones necesarias para la explotación, pero no se menciona ningún exploit público ni campañas de ataque que aprovechen esta CVE. No debe asumirse explotación activa sin evidencia adicional.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas para esta vulnerabilidad. El campo correspondiente en el enriquecimiento de datos aparece vacío. Por tanto, no se publican IOC en este análisis. Se recomienda monitorizar los registros del servidor y del plugin Give Tributes en busca de actividad anómala relacionada con donaciones o mensajes personalizados, así como revisar la integridad de los archivos del sitio.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-19658, debes verificar los siguientes puntos. La vulnerabilidad afecta al plugin Give Tributes de LiquidWeb en todas las versiones hasta la 2.3.1 inclusive.
1. Verifica la versión del plugin
Accede al panel de administración de WordPress y navega a Plugins → Plugins instalados. Localiza Give Tributes y comprueba el número de versión. Si es igual o inferior a 2.3.1, tu sitio es potencialmente vulnerable.
2. Comprueba la configuración del formulario de donación
La explotación solo es posible si se cumplen dos condiciones en la configuración del formulario de donación:
- «Allow Multiple Recipients» debe estar habilitado: esta opción permite seleccionar varios destinatarios en el formulario. Si está desactivada, la ruta de código vulnerable no es accesible.
- La opción eCard «Custom Message» debe estar deshabilitada: esta es la configuración por defecto del plugin. Si está habilitada, el mensaje personalizado se convierte en un campo obligatorio y la función
give_clean()de GiveWP elimina la entrada serializada durante la validación, impidiendo el ataque.
3. Revisa si hay otros plugins o temas con cadenas POP
La vulnerabilidad de inyección de objetos PHP no tiene impacto directo por sí sola. Para que un atacante pueda explotarla, necesita una cadena POP (Property-Oriented Programming) presente en otro plugin o tema instalado en el sitio. Si no tienes otros plugins o temas que contengan dichas cadenas, el riesgo de explotación es bajo, aunque la vulnerabilidad sigue presente.
Nota importante: No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. No deben inventarse ni buscarse patrones específicos de ataque.
Mitigación y actualización
En el momento de la publicación de esta CVE, no se ha publicado una versión corregida del plugin Give Tributes que aborde específicamente esta vulnerabilidad. Las fuentes oficiales (NVD y CVE.org) no incluyen información sobre una versión parcheada.
Mientras tanto, se recomienda aplicar las siguientes medidas de mitigación:
Mitigaciones inmediatas
- Deshabilita la opción «Allow Multiple Recipients» en todos los formularios de donación que utilicen Give Tributes. Esta acción elimina la ruta de código vulnerable y neutraliza el vector de ataque.
- Habilita la opción eCard «Custom Message» si no la tienes activa. Aunque no es una mitigación completa, dificulta la explotación al requerir un campo obligatorio que pasa por la función
give_clean(), que elimina la entrada serializada. - Audita los plugins y temas instalados: identifica si alguno de ellos contiene cadenas POP que pudieran ser utilizadas en combinación con esta vulnerabilidad. Si encuentras algún plugin o tema con dichas cadenas, considera desactivarlo o actualizarlo.
Monitorización y seguimiento
- Revisa periódicamente el sitio oficial de Give Tributes para conocer cuándo se publica una versión corregida.
- Consulta la entrada de Wordfence Threat Intelligence para obtener actualizaciones sobre la vulnerabilidad.
- Suscríbete a las alertas de seguridad de NVD para recibir notificaciones cuando se actualice la entrada de esta CVE.
Checklist para administradores
- ☐ He verificado que la versión de Give Tributes instalada es igual o inferior a 2.3.1.
- ☐ He deshabilitado la opción «Allow Multiple Recipients» en todos los formularios de donación.
- ☐ He habilitado la opción eCard «Custom Message» si estaba desactivada.
- ☐ He auditado todos los plugins y temas instalados en busca de cadenas POP potencialmente explotables.
- ☐ He revisado el sitio oficial de LiquidWeb para comprobar si hay una versión corregida disponible.
- ☐ He configurado alertas de seguridad para esta CVE en NVD y Wordfence.
- ☐ He documentado la configuración actual del plugin y los cambios aplicados como mitigación.
- ☐ He informado al equipo de desarrollo o administración sobre la necesidad de actualizar el plugin cuando se publique el parche.
- ☐ He verificado que no se han producido accesos no autorizados o modificaciones sospechosas en los formularios de donación.
Preguntas frecuentes
¿Qué es una inyección de objetos PHP?
Es una vulnerabilidad que permite a un atacante inyectar objetos PHP serializados en la aplicación. Si existe una cadena POP (secuencia de propiedades y métodos) en el código, el atacante puede desencadenar acciones no autorizadas como ejecución de código, borrado de archivos o exfiltración de datos.
¿Mi sitio está en riesgo si no tengo otros plugins instalados?
El riesgo es bajo. La vulnerabilidad solo tiene impacto si hay otro plugin o tema con una cadena POP instalado en el sitio. Sin embargo, la vulnerabilidad sigue presente y podría ser explotada si se instala un plugin vulnerable en el futuro.
¿Cómo sé si la opción «Allow Multiple Recipients» está habilitada?
Accede al editor del formulario de donación en GiveWP y busca la configuración de destinatarios. Si la opción está activa, verás la posibilidad de seleccionar múltiples destinatarios en el formulario. También puedes revisar la configuración del plugin en Donaciones → Ajustes.
¿Existe alguna versión corregida del plugin?
No. Las fuentes oficiales consultadas (NVD y CVE.org) no indican que se haya publicado una versión corregida de Give Tributes. Se recomienda monitorizar el sitio oficial del fabricante para conocer cuándo esté disponible.
¿Qué debo hacer si ya he sido atacado?
No se han publicado indicadores de compromiso específicos para esta vulnerabilidad. Si sospechas que tu sitio ha sido comprometido, revisa los registros de acceso, los archivos modificados recientemente y los usuarios nuevos. Considera restaurar desde una copia de seguridad anterior a la fecha de publicación de la CVE (22 de septiembre de 2026).
¿La vulnerabilidad afecta a todos los formularios de donación?
No. Solo los formularios que tienen habilitada la opción «Allow Multiple Recipients» y deshabilitada la opción eCard «Custom Message» son vulnerables. Los formularios de destinatario único aplican sanitize_textarea_field(), que neutraliza la carga útil.