CVE-2026-14378: fallo crítico en DevKit Pro permite toma de control

Qué es la vulnerabilidad

CVE-2026-14378 es una vulnerabilidad crítica de autenticación insegura (CWE-287) identificada en el plugin DevKit Pro de WordPress, desarrollado por dplugins. Esta falla afecta a todas las versiones del plugin hasta la 2.3.0 inclusive y permite a un atacante no autenticado obtener una sesión de administrador completa, lo que deriva en la toma de control total del sitio web.

El origen del problema se encuentra en el manejo del parámetro revert_switch dentro del plugin. Este controlador está diseñado para permitir a un administrador volver a su sesión original después de haber utilizado la funcionalidad de «cambio de usuario» (user switching). Sin embargo, la implementación contiene dos fallos críticos que combinados hacen posible la explotación remota sin credenciales:

1. Confianza en una cookie controlable por el atacante: el controlador revert_switch confía en el valor de la cookie original_user_id, que es proporcionada por el cliente y puede ser manipulada por cualquier visitante. El plugin utiliza este valor para identificar al usuario «original» que debe ser restaurado.
2. Comprobación de capacidades incorrecta: la función verify_nonce_and_capability() verifica la capacidad manage_options (privilegio de administrador) sobre el usuario identificado por la cookie original_user_id, en lugar de verificar la capacidad del usuario que realiza la solicitud mediante current_user_can(). Esto significa que la comprobación se realiza sobre la identidad controlada por el atacante, no sobre el solicitante real.

Adicionalmente, cuando la cookie original_user_id está presente, el plugin genera y expone públicamente un formulario de «volver al usuario original» junto con un nonce válido vinculado a la sesión a través del hook wp_footer. Este formulario y el nonce se renderizan para cualquier visitante, incluidos usuarios no autenticados.

La combinación de estos tres factores permite a un atacante no autenticado realizar los siguientes pasos:

1. Establecer la cookie original_user_id con el ID de usuario de cualquier administrador del sitio.
2. Visitar cualquier página del sitio para recopilar el nonce válido que se renderiza en el pie de página.
3. Enviar una petición POST al controlador revert_switch con el nonce obtenido.

Como resultado, el plugin ejecuta wp_set_auth_cookie() con el ID del administrador especificado, otorgando al atacante una sesión autenticada con privilegios completos de administrador. Esto permite la toma de control total del sitio, incluyendo la instalación de plugins maliciosos, la modificación de contenido, el acceso a la base de datos y cualquier otra acción que un administrador legítimo podría realizar.

La vulnerabilidad ha sido clasificada con una puntuación CVSS de 9.8 (Crítica), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, lo que refleja que es explotable remotamente sin necesidad de autenticación ni interacción del usuario, y que su impacto en confidencialidad, integridad y disponibilidad es alto.

Productos y versiones vulnerables

El aviso de CVE.org y NVD confirma que la vulnerabilidad afecta al plugin DevKit Pro del fabricante dplugins para WordPress. Según los datos publicados, todas las versiones hasta la 2.3.0 (incluida) están afectadas.

No se han publicado versiones específicas no afectadas en las fuentes consultadas. Se recomienda revisar el changelog oficial para confirmar la disponibilidad de una corrección.

Impacto y riesgo

La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS v3.1 de 9.8, permite a un atacante no autenticado omitir la autenticación y tomar el control total de una cuenta de administrador. El vector CVSS (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) indica que:

• Acceso por red: explotable remotamente sin necesidad de acceso previo al sistema.
• Complejidad baja: no se requieren condiciones especiales ni conocimiento previo más allá del ID de usuario administrador.
• Sin privilegios ni interacción: el atacante no necesita credenciales ni que el administrador realice ninguna acción.
• Impacto alto en confidencialidad, integridad y disponibilidad: al obtener una sesión de administrador, el atacante puede modificar la configuración del sitio, inyectar contenido malicioso, instalar plugins o temas, y potencialmente comprometer el servidor subyacente.

El fallo radica en el manejo del cookie original_user_id y la verificación incorrecta de capacidades (manage_options) sobre el usuario identificado por el cookie en lugar del usuario real que realiza la petición. Además, el formulario de reversión y un nonce válido se exponen públicamente en el wp_footer, lo que facilita la explotación incluso para visitantes no autenticados.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa de esta vulnerabilidad en entornos reales. La entrada de CVE no incluye referencias a ataques en curso ni a la existencia de un exploit público funcional. No obstante, la naturaleza de la vulnerabilidad (autenticación débil con vector de red y baja complejidad) y su criticidad (9.8) la convierten en un objetivo altamente probable para actores maliciosos. Se recomienda aplicar las mitigaciones disponibles de forma inmediata.

Indicadores de compromiso (IOC)

No se han extraído Indicadores de Compromiso (IOC) estructurados de las fuentes consultadas (NVD, CVE.org).). Los campos correspondientes en el contexto aparecen vacíos. Por tanto, no se dispone de IOC publicados para esta vulnerabilidad en las fuentes de referencia. No deben inventarse indicadores no respaldados por datos oficiales.