CVE-2026-103889: RCE en 3D Product configurator para WooCommerce

Qué es la vulnerabilidad

CVE-2026-103889 es una vulnerabilidad crítica de ejecución remota de código (RCE) en el plugin 3D Product configurator for WooCommerce de Expivi, utilizado para personalizar productos en tiendas WooCommerce. La falla afecta a todas las versiones del plugin hasta la 2.16.2 inclusive.

El origen del problema se encuentra en el manejo del parámetro xpv_image dentro del controlador wp_loaded. Según la descripción publicada por NVD y CVE.org, este controlador carece de comprobaciones de autenticación y nonce, y el valor del parámetro xpv_image no se sanitiza antes de ser insertado sin escapar en una plantilla HTML procesada por Dompdf con la ejecución de PHP habilitada.

El detalle más relevante es que la única verificación de nonce y autenticación presente en el controlador está completamente encerrada en un comentario de bloque, sin código de reemplazo. Esto significa que el endpoint es accesible mediante una única petición POST no autenticada a cualquier URL del sitio, sin necesidad de credenciales ni de un token de seguridad.

La vulnerabilidad está clasificada bajo la categoría CWE-434 (Restricción incorrecta de carga de archivos con tipo peligroso), aunque el vector de ataque descrito no implica necesariamente la subida de un archivo, sino la inyección de código PHP que se ejecuta durante el renderizado del PDF.

La puntuación CVSS v3.1 es de 9.8, con vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, lo que indica que la vulnerabilidad es explotable remotamente sin autenticación, con baja complejidad de ataque y sin requerir interacción del usuario. El impacto es total en los tres ejes de seguridad: confidencialidad, integridad y disponibilidad.

Dado que el plugin está diseñado para entornos WooCommerce, cualquier sitio que tenga instalada una versión afectada del plugin y esté expuesto a Internet es potencialmente vulnerable. La explotación exitosa permite a un atacante ejecutar comandos arbitrarios en el servidor, lo que puede derivar en el robo de datos, la instalación de malware, el secuestro del sitio o el movimiento lateral dentro de la infraestructura.

La vulnerabilidad fue publicada el 10 de octubre de 2026 y ha sido seleccionada por RyzerBot por su criticidad, relevancia y puntuación de prioridad. No se ha indicado que esté siendo utilizada en campañas de ransomware, pero la facilidad de explotación y el impacto total hacen que deba tratarse con la máxima urgencia.

Productos y versiones vulnerables

La vulnerabilidad afecta al plugin 3D Product configurator for WooCommerce desarrollado por Expivi. Según la información publicada por CVE.org y NVD, todas las versiones del plugin hasta la 2.16.2 inclusive se consideran afectadas.

Es importante señalar que, aunque el plugin está diseñado para WooCommerce, la vulnerabilidad se explota mediante una petición POST sin autenticación a cualquier URL del sitio, por lo que cualquier instalación de WordPress con el plugin activo y versiones afectadas está potencialmente expuesta, independientemente de que se utilice WooCommerce de forma activa o no.

Impacto y riesgo

La vulnerabilidad ha sido clasificada con una puntuación CVSS v3.1 de 9.8 (CRITICAL), con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto implica:

• Vector de ataque: Red (AV:N), explotable de forma remota.
• Complejidad de ataque: Baja (AC:L), no se requieren condiciones especiales.
• Privilegios necesarios: Ninguno (PR:N), el atacante no necesita estar autenticado.
• Interacción del usuario: Ninguna (UI:N).
• Impacto en confidencialidad, integridad y disponibilidad: Alto (C:H/I:H/A:H).

El impacto real es la ejecución remota de código (RCE) en el servidor. Dado que el parámetro xpv_image se refleja sin saneamiento en una plantilla HTML procesada por Dompdf con la ejecución de PHP habilitada, un atacante no autenticado puede ejecutar código arbitrario en el servidor con los permisos del usuario bajo el que se ejecuta WordPress. Esto puede derivar en el compromiso total del sitio, la instalación de webshells, el robo de datos, la modificación de contenido y, potencialmente, el movimiento lateral dentro de la infraestructura si los permisos del sistema lo permiten.

La criticidad se ve agravada por la ausencia de requisitos de autenticación y la facilidad de explotación: una única petición POST sin credenciales es suficiente para comprometer el servidor.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa de esta vulnerabilidad en entornos reales. No se mencionan campañas, exploits públicos o pruebas de concepto disponibles en las referencias incluidas en el contexto.

No obstante, la naturaleza de la vulnerabilidad —acceso no autenticado, complejidad baja y ejecución remota de código— la convierte en un objetivo altamente atractivo para atacantes automatizados. Se recomienda encarecidamente tratar esta vulnerabilidad como explotable y aplicar las medidas de mitigación de forma inmediata, sin esperar a confirmar la existencia de exploits públicos.

Indicadores de compromiso (IOC)

Las fuentes consultadas no han publicado indicadores de compromiso (IOC) estructurados para esta vulnerabilidad. El campo correspondiente en el enriquecimiento de datos aparece vacío.

No se deben inventar IOC. En su lugar, se recomienda a los administradores:

• Revisar los registros de acceso (access.log) en busca de peticiones POST sospechosas dirigidas a cualquier URL del sitio con el parámetro xpv_image presente.
• Auditar los archivos del servidor en busca de archivos PHP inusuales o modificados recientemente, especialmente en directorios de subida y caché.
• Revisar los procesos en ejecución y las conexiones salientes anómalas desde el servidor web.
• Comprobar la integridad de los archivos del núcleo de WordPress, temas y plugins mediante sumas de verificación.

Ante cualquier indicio de compromiso, se recomienda aislar el servidor, realizar un análisis forense y restaurar desde una copia de seguridad limpia y anterior a la posible fecha de compromiso.

Cómo comprobar si estás afectado

Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-103889, debes verificar la versión del plugin 3D Product configurator for WooCommerce de Expivi. La vulnerabilidad afecta a todas las versiones hasta la 2.16.2 inclusive. Si tu versión es igual o anterior a la 2.16.2, asume que el sitio está comprometido o en riesgo inminente.

La comprobación puede realizarse desde el panel de administración de WordPress, en la sección Plugins → Plugins instalados. Localiza «3D Product configurator for WooCommerce» y revisa el número de versión indicado. También puedes consultar el archivo readme.txt del plugin o el encabezado del archivo principal del plugin para confirmar la versión exacta.

Dado que el vector de ataque es un POST no autenticado al parámetro xpv_image en el hook wp_loaded, cualquier sitio con el plugin activo y versiones afectadas es potencialmente explotable. No es necesario que un usuario haya interactuado con el configurador 3D; el endpoint es accesible desde cualquier URL del sitio.

Además, se recomienda revisar los logs del servidor web en busca de peticiones POST inusuales que contengan el parámetro xpv_image o que apunten a rutas relacionadas con la generación de PDF. La presencia de archivos PHP inesperados en el directorio de subidas (wp-content/uploads) o en el directorio temporal de Dompdf puede indicar una explotación exitosa.

Mitigación y actualización

En el momento de la publicación de esta CVE, no se ha publicado una versión corregida del plugin que aborde esta vulnerabilidad. La referencia al changeset de WordPress Trac incluida en el aviso (https://plugins.trac.wordpress.org/changeset?reponame=&old=3723323%40expivi&new=3723323%40expivi) sugiere que el fabricante está trabajando en un parche, pero no se confirma una versión específica corregida.

Mientras tanto, las siguientes acciones de mitigación son críticas:

• Desactivar y eliminar el plugin si no es imprescindible para la operación del sitio. Esta es la medida más segura y efectiva hasta que exista una versión parcheada.
• Restringir el acceso al endpoint vulnerable mediante reglas de firewall de aplicación web (WAF) que bloqueen peticiones POST con el parámetro xpv_image.
• Revisar el código fuente del plugin en las líneas referenciadas (classes/pdf/class-pdf.php línea 34, classes/woocommerce/class-expivi-cart-manager.php líneas 95, 212, 238 y 598, y templates/pdf/pdf-configuration-details.phtml línea 199) para identificar y neutralizar manualmente la ejecución de código si se tiene experiencia en desarrollo PHP.
• Monitorizar activamente los logs del servidor y los directorios de subida en busca de actividad sospechosa.

Consulta el aviso oficial del fabricante y el análisis de Wordfence para obtener información actualizada sobre la disponibilidad de parches.

Checklist para administradores

Utiliza esta lista para evaluar y responder ante la vulnerabilidad:

• ☐ He identificado la versión exacta del plugin 3D Product configurator for WooCommerce instalada en el sitio.
• ☐ He confirmado si la versión instalada es igual o anterior a la 2.16.2.
• ☐ He revisado los logs del servidor en busca de peticiones POST con el parámetro xpv_image.
• ☐ He comprobado el directorio wp-content/uploads y el directorio temporal de Dompdf en busca de archivos PHP inesperados.
• ☐ He desactivado el plugin si no es esencial para la operación del sitio.
• ☐ He implementado reglas de WAF para bloquear peticiones maliciosas al endpoint vulnerable.
• ☐ He notificado al equipo de desarrollo o al proveedor del plugin sobre la exposición.
• ☐ He establecido un plan de monitorización continua para detectar intentos de explotación.
• ☐ He programado una revisión periódica de las fuentes oficiales para aplicar el parche cuando esté disponible.

Preguntas frecuentes

¿Qué es CVE-2026-103889?

Es una vulnerabilidad de ejecución remota de código (RCE) en el plugin 3D Product configurator for WooCommerce de Expivi, que afecta a todas las versiones hasta la 2.16.2. Permite a un atacante no autenticado ejecutar código arbitrario en el servidor mediante una petición POST al parámetro xpv_image.

¿Cómo se explota esta vulnerabilidad?

El plugin carece de comprobaciones de autenticación y nonce en el handler de wp_loaded, y el parámetro xpv_image se refleja sin saneamiento en una plantilla HTML renderizada por Dompdf con ejecución de PHP habilitada. Un atacante puede enviar una única petición POST a cualquier URL del sitio para inyectar y ejecutar código PHP.

¿Qué puntuación CVSS tiene esta vulnerabilidad?

La puntuación CVSS v3.1 es de 9.8 (CRITICAL), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto indica que el ataque es explotable remotamente sin autenticación y con baja complejidad, con impacto total en confidencialidad, integridad y disponibilidad.

¿Existe una versión corregida del plugin?

No publicado por las fuentes consultadas. La referencia al changeset en WordPress Trac sugiere que se está trabajando en un parche, pero no se confirma una versión corregida específica. Se recomienda monitorizar las fuentes oficiales y el repositorio del plugin.

¿Qué debo hacer si mi sitio es vulnerable?

Desactiva el plugin inmediatamente si no es imprescindible. Implementa reglas de WAF para bloquear peticiones con el parámetro xpv_image, revisa los logs y los directorios de subida en busca de indicios de compromiso, y aplica el parche en cuanto esté disponible.

¿Puedo detectar si mi sitio ya ha sido comprometido?

Revisa los logs del servidor en busca de peticiones POST inusuales con el parámetro xpv_image y busca archivos PHP sospechosos en wp-content/uploads o en el directorio temporal de Dompdf. La presencia de estos elementos puede indicar una explotación exitosa.