CVE-2026-15989: Escalada de privilegios crítica en Super Forms

Qué es la vulnerabilidad

La CVE-2026-15989 es una vulnerabilidad de escalada de privilegios clasificada como crítica, que afecta al plugin Super Forms – Drag & Drop Form Builder de WordPress, desarrollado por WebRehab. El fallo reside específicamente en el add-on Register & Login del plugin, en la función before_email_success_msg().

El problema radica en que esta función incluye en una lista blanca la clave role enviada por el cliente y la copia directamente en el array de datos de usuario que se pasa a la función wp_insert_user(). Este proceso se realiza sin validar el rol enviado contra el rol configurado por el administrador (register_user_role), sin emplear una lista de roles permitidos y sin realizar ninguna comprobación de capacidades mediante current_user_can().

Esta deficiencia de seguridad permite que un atacante no autenticado pueda manipular los datos enviados a cualquier formulario de registro publicado que utilice el plugin (con la acción register_login_action='register') e inyectar el parámetro role=administrator. De esta manera, el atacante consigue registrar una nueva cuenta de usuario con privilegios de administrador en el sitio WordPress.

La vulnerabilidad está catalogada bajo la clasificación CWE-269 (Improper Privilege Management), que se refiere a una gestión inadecuada de los privilegios, y afecta a todas las versiones del plugin hasta la 6.3.316 inclusive.

Dado que el vector de ataque es remoto, no requiere autenticación previa ni interacción del usuario, y su explotación exitosa compromete por completo la seguridad del sitio, la severidad se ha evaluado como crítica con una puntuación CVSS de 9.8 sobre 10.

Productos y versiones vulnerables

La vulnerabilidad afecta al plugin Super Forms – Drag & Drop Form Builder de WebRehab, en todas las versiones hasta la 6.3.316 inclusive. Según la información publicada por CVE.org y NVD, no se ha especificado una versión mínima afectada, por lo que cualquier instalación anterior a la 6.3.316 debe considerarse vulnerable.

La vulnerabilidad reside específicamente en el add-on Register & Login del plugin, que es el componente que gestiona los formularios de registro y acceso. Esto implica que, aunque el plugin base esté actualizado, cualquier sitio que tenga habilitado este add-on y publique un formulario de registro mediante Super Forms está expuesto.

Impacto y riesgo

Estamos ante una vulnerabilidad de escalada de privilegios crítica con una puntuación CVSS v3.1 de 9.8 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). El vector refleja que el ataque puede ejecutarse de forma remota, sin autenticación previa, sin interacción del usuario y con una complejidad de ataque baja.

La causa raíz se encuentra en la función before_email_success_msg() del add-on Register & Login. Esta función incluye en una lista blanca la clave role enviada por el cliente y la copia directamente en el array de datos de usuario que se pasa a wp_insert_user(). El problema es que no se valida que el rol enviado coincida con el rol de registro configurado por el administrador, no se aplica una lista de roles permitidos y tampoco se realiza ninguna comprobación de capacidad mediante current_user_can().

El impacto práctico es inmediato y grave: un atacante no autenticado puede enviar role=administrator en los datos de cualquier formulario de registro publicado que utilice register_login_action='register', y la solicitud se procesará creando una cuenta con privilegios de administrador en el sitio WordPress.

Las consecuencias de obtener una cuenta de administrador en WordPress son totales: el atacante podría instalar plugins maliciosos, modificar archivos del tema, inyectar código arbitrario, exfiltrar la base de datos completa (incluidas credenciales y datos de clientes) o utilizar el sitio comprometido como plataforma para atacar a los visitantes. Dado que el vector de ataque es accesible de forma remota y no requiere autenticación, el riesgo de explotación masiva automatizada es muy alto.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información que confirme explotación activa en entornos reales para esta CVE. No se ha documentado ningún incidente público, cadena de exploits ni campaña que aproveche esta vulnerabilidad en el momento de la publicación de este análisis.

Sin embargo, la naturaleza de la vulnerabilidad —un fallo de lógica en la gestión de roles que permite escalada de privilegios sin autenticación— hace que su explotación sea técnicamente sencilla. La referencia al pull request en el repositorio público de GitHub (https://github.com/RensTillmann/super-forms/pull/205) sugiere que ya existe un intento de corrección, lo que implica que el fallo ha sido identificado y analizado en detalle. Se recomienda encarecidamente tratar esta vulnerabilidad como explotable y priorizar la mitigación.

Indicadores de compromiso (IOC)

Las fuentes consultadas no han publicado indicadores de compromiso estructurados para esta vulnerabilidad. No se dispone de direcciones IP, dominios, hashes de archivos maliciosos ni patrones de red asociados a campañas de explotación de CVE-2026-15989.

En ausencia de IOC publicados, se recomienda a los administradores revisar los registros de acceso y las cuentas de usuario recientemente creadas en WordPress, prestando especial atención a:

• Cuentas de usuario con rol Administrator creadas en fechas recientes y sin verificación previa.
• Peticiones HTTP dirigidas a formularios de Super Forms que incluyan el parámetro role en el cuerpo de la solicitud.
• Intentos de registro masivos o inusuales procedentes de la misma dirección IP.

Estas comprobaciones son medidas de higiene general y no sustituyen a la aplicación de la actualización de seguridad cuando el fabricante publique la versión corregida.

Cómo comprobar si estás afectado

Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-15989, debes verificar la versión exacta del plugin Super Forms – Drag & Drop Form Builder que tienes activa. La vulnerabilidad afecta a todas las versiones hasta la 6.3.316 inclusive.

El método más fiable es revisar la información directamente desde el panel de administración de WordPress. Sigue estos pasos:

1. Accede a tu panel de administración de WordPress.
2. Navega hasta Plugins → Plugins instalados.
3. Localiza Super Forms – Drag & Drop Form Builder en la lista.
4. Comprueba el número de versión que se muestra en la columna «Versión» o en la ficha del plugin.
5. Si la versión es 6.3.316 o inferior, tu sitio está afectado.

También puedes revisar el archivo readme.txt del plugin, que suele encontrarse en la ruta /wp-content/plugins/super-forms/readme.txt de tu servidor, aunque la comprobación desde el panel es la más recomendada y segura.

Nota importante: Esta vulnerabilidad permite a un atacante no autenticado registrarse con el rol de Administrador en cualquier formulario de registro publicado que utilice el add-on Register & Login. Si tienes formularios de registro activos, la exposición es inmediata.

Mitigación y actualización

En el momento de la publicación de este análisis, no se ha publicado una versión corregida del plugin según las fuentes consultadas. La referencia al pull request en GitHub (https://github.com/RensTillmann/super-forms/pull/205) sugiere que existe una propuesta de corrección, pero no se confirma su disponibilidad como versión estable.

Mientras tanto, se recomiendan las siguientes medidas de mitigación temporal:

• Desactivar el add-on Register & Login si no es imprescindible para tu operativa. Esta es la medida más efectiva para eliminar la superficie de ataque.
• Desactivar o pausar cualquier formulario de registro publicado que utilice el add-on afectado.
• Monitorizar los registros de usuarios en busca de cuentas nuevas con rol de Administrador que no hayan sido creadas por ti.
• Revisar los usuarios existentes y eliminar cualquier cuenta sospechosa con privilegios elevados.
• Mantener una copia de seguridad reciente del sitio para poder restaurar en caso de compromiso.

Consulta el aviso oficial del fabricante y las referencias de Wordfence para obtener información actualizada sobre la disponibilidad de parches. La referencia de Wordfence (https://www.wordfence.com/threat-intel/vulnerabilities/id/7eb62d35-3f0e-4733-8f7f-723d0f25b710?source=cve) es una fuente fiable para seguir la evolución de esta vulnerabilidad.

Checklist para administradores

• ☐ Verificar la versión instalada de Super Forms – Drag & Drop Form Builder.
• ☐ Confirmar si el add-on Register & Login está activo en el sitio.
• ☐ Revisar si hay formularios de registro publicados que utilicen el add-on afectado.
• ☐ Desactivar el add-on Register & Login o los formularios de registro como medida temporal.
• ☐ Auditar la lista de usuarios administradores y eliminar cuentas no autorizadas.
• ☐ Revisar los registros de actividad del sitio en busca de intentos de registro sospechosos.
• ☐ Suscribirse a las alertas de Wordfence y del fabricante para conocer cuándo se publica un parche.
• ☐ Programar una copia de seguridad completa del sitio antes de aplicar cualquier actualización futura.

Preguntas frecuentes

¿Qué es CVE-2026-15989?

Es una vulnerabilidad crítica de escalada de privilegios en el plugin Super Forms – Drag & Drop Form Builder para WordPress, que permite a un atacante no autenticado registrarse con el rol de Administrador en formularios de registro publicados.

¿Qué versiones están afectadas?

Todas las versiones del plugin hasta la 6.3.316 inclusive están afectadas según las fuentes consultadas.

¿Cómo se explota esta vulnerabilidad?

El atacante inyecta el parámetro role=administrator en los datos enviados a un formulario de registro que utilice el add-on Register & Login. El plugin copia este valor sin validarlo contra la configuración del administrador ni comprobar permisos, lo que permite crear una cuenta con privilegios máximos.

¿Existe un parche disponible?

No se ha publicado una versión corregida confirmada en las fuentes consultadas. Existe un pull request en GitHub que podría contener la corrección, pero no se confirma su disponibilidad como versión estable.

¿Qué debo hacer si ya he sido comprometido?

Si sospechas que un atacante ha creado una cuenta de administrador, debes eliminar inmediatamente esa cuenta, cambiar todas las contraseñas de administradores legítimos, revisar los archivos del sitio en busca de modificaciones maliciosas y restaurar desde una copia de seguridad limpia si es necesario.

¿Cómo puedo protegerme mientras no hay parche?

La medida más efectiva es desactivar el add-on Register & Login y cualquier formulario de registro que lo utilice. También puedes implementar reglas de firewall a nivel de aplicación para bloquear peticiones que incluyan el parámetro role en formularios de registro.