Vulnerabilidades en plugins de WordPress: 12 plugins, incluido WS Form LITE

Se divulgaron vulnerabilidades en 12 plugins de WordPress el 7 de noviembre de 2026. La más grave es una escalada de privilegios en Registration Form for WooCommerce (CVSS 9.8) que permite a atacantes no autenticados crear una cuenta de administrador. Varios otros fallos también pueden explotarse sin una cuenta, en las condiciones descritas a continuación. Hasta el momento, ninguno se ha reportado como explotado activamente.

Registration Form for WooCommerce (1.000 instalaciones activas)

La ruta de registro en el proceso de pago no verifica el rol de usuario enviado contra una lista de permitidos, por lo que atacantes no autenticados pueden crear una cuenta con el rol de Administrador durante el proceso de pago, lo que equivale a una toma de control total del sitio. Están afectadas todas las versiones hasta la 1.1.4 inclusive (CVE-2026-119075, CVSS 9.8). Actualice a la última versión; si no hay actualización disponible, desactive y elimine el plugin.

QA Assistants – Driven by data (2.000 instalaciones activas)

Este plugin es vulnerable a inyección de objetos PHP mediante el parámetro 'dlevent_ver', que atacantes no autenticados pueden usar junto con un componente Guzzle incluido para escribir archivos arbitrarios y, potencialmente, ejecutar código. El código vulnerable se activa a través de wp-cron.php, que no requiere autenticación y se ejecuta cada dos minutos. Están afectadas todas las versiones hasta la 5.3.0 inclusive (CVE-2026-87112, CVSS 8.8). Actualice a la última versión o, si no hay actualización disponible, desactive y elimine el plugin.

Advanced Form Integration – Connect Forms to 300+ Apps (9.000 instalaciones activas)

Atacantes no autenticados pueden inyectar objetos PHP mediante la deserialización de datos no confiables. El plugin en sí no contiene ninguna cadena POP conocida, por lo que el impacto depende de que otro plugin o tema proporcione una, y la explotación requiere una integración activa de NexForms configurada por un administrador. Están afectadas todas las versiones hasta la 2.10.2 inclusive (CVE-2026-104738, CVSS 8.1). Actualice a la última versión o, si no hay actualización disponible, desactive y elimine el plugin.

Motors – Car Dealership & Classified Listings Plugin (9.000 instalaciones activas)

Cualquier usuario que haya iniciado sesión con nivel de suscriptor o superior puede eliminar archivos arbitrarios mediante la función stm_listings_ajax_save_user_data; según la descripción, la eliminación se limita al directorio wp-content/uploads. Están afectadas todas las versiones hasta la 1.4.125 inclusive (CVE-2026-104746, CVSS 8.1). Actualice a la última versión o, si no hay actualización disponible, desactive y elimine el plugin.

WPJAM Basic (4.000 instalaciones activas)

Un fallo en la función de registro permite a atacantes no autenticados crear un nuevo usuario con el rol que elijan, incluido el de Administrador. La explotación requiere un proveedor de inicio de sesión social registrado y el registro abierto. Están afectadas las versiones hasta la 7.1 inclusive (CVE-2026-103900, CVSS 8.1). Actualice a la última versión o, si no hay actualización disponible, desactive y elimine el plugin.

Affiliate Program Suite – SliceWP Affiliates (10.000 instalaciones activas)

Atacantes no autenticados pueden realizar una inyección SQL mediante el parámetro 'email' y extraer información sensible de la base de datos; el código vulnerable se ejecuta durante el registro en Mi cuenta de WooCommerce. Están afectadas todas las versiones hasta la 1.2.14 inclusive (CVE-2026-120043, CVSS 7.5). Actualice a la última versión o, si no hay actualización disponible, desactive y elimine el plugin.

AutomatorWP (6.000 instalaciones activas)

La falta de comprobaciones de rol en las acciones de creación de usuarios puede permitir a atacantes no autenticados obtener una nueva cuenta de administrador. Esto requiere una automatización anónima cuya opción Rol esté vinculada a una etiqueta de activador dinámica, como {comment_author}, y se activa cuando un administrador aprueba un comentario. Están afectadas todas las versiones hasta la 6.0.4 inclusive (CVE-2026-104768, CVSS 7.5). Actualice a la última versión y revise las automatizaciones que crean usuarios o cambian roles.

Quttera ThreatSign – Web Malware Scanner (10.000 instalaciones activas)

Atacantes no autenticados pueden almacenar scripts maliciosos mediante la cabecera HTTP User-Agent, que se ejecutan cuando un administrador abre la página afectada. Están afectadas todas las versiones hasta la 4.1.0.48 inclusive (CVE-2026-115548, CVSS 7.2). Actualice a la última versión o, si no hay actualización disponible, desactive y elimine el plugin.

Link Library (10.000 instalaciones activas)

Atacantes no autenticados pueden almacenar scripts maliciosos mediante el parámetro 'link_description', pero solo si está activada la opción no predeterminada 'Convert [] to <> in Link Description and Notes'. Están afectadas todas las versiones hasta la 7.10.0 inclusive (CVE-2026-116537, CVSS 7.2). Actualice a la última versión y compruebe si necesita esta opción en sus sitios.

WS Form LITE – Drag & Drop Contact Form Builder (10.000 instalaciones activas)

Atacantes no autenticados pueden almacenar scripts maliciosos mediante parámetros de campos de formulario, porque una función auxiliar de escape en el lado del cliente deja pasar sin cambios los valores que no son cadenas. Están afectadas todas las versiones hasta la 1.12.18 inclusive (CVE-2026-122231, CVSS 7.2). Actualice a la última versión o, si no hay actualización disponible, desactive y elimine el plugin.

VikBooking Hotel Booking Engine & PMS (8.000 instalaciones activas)

Atacantes no autenticados pueden almacenar scripts maliciosos mediante el parámetro de documentos del huésped en el formulario de check-in previo; el token de reserva necesario puede obtenerse realizando una reserva pública normal. Están afectadas todas las versiones hasta la 1.8.17 inclusive (CVE-2026-93429, CVSS 7.2). Actualice a la última versión o, si no hay actualización disponible, desactive y elimine el plugin.

Pie Register – User Registration, Profiles & Content Restriction (1.000 instalaciones activas)

Atacantes no autenticados pueden almacenar scripts maliciosos mediante el parámetro 'first_name' cuando el registro público está habilitado y el formulario incluye un campo de imagen de perfil. Están afectadas todas las versiones hasta la 3.8.4.16 inclusive (CVE-2026-119158, CVSS 7.2). Actualice a la última versión o, si no hay actualización disponible, desactive y elimine el plugin.

Cómo comprobar sus sitios

Abra Plugins > Plugins instalados en el panel de WordPress de cada sitio y busque los plugins enumerados arriba, o ejecute wp plugin list con WP-CLI para ver los plugins instalados y sus versiones. Actualice los plugins afectados desde el panel o con wp plugin update <plugin-slug>. En el caso de los fallos de escalada de privilegios, revise también la lista de usuarios por si hay cuentas de administrador que no reconozca.

Fuentes

• https://nvd.nist.gov/vuln/detail/CVE-2026-103900
• https://nvd.nist.gov/vuln/detail/CVE-2026-104738