¿Qué es y cómo funciona la falla?
La vulnerabilidad CVE-2026-126537 es una falla de tipo Borrado Arbitrario de Archivos (CWE-22) en el complemento Ninja Forms - File Uploads para WordPress. El problema reside en dos funciones del código del complemento que no validan correctamente las rutas de archivo proporcionadas por el usuario durante un proceso de subida.
Cuando un formulario se envía con un parámetro específico (saveProgress no vacío) y sin un upload_id, la ruta del archivo manipulada por el atacante (data[file_path]) persiste y se utiliza posteriormente en una función de borrado (unlink()). El complemento no aplica su propia función de verificación de seguridad (is_path_within_upload_dir()) en este flujo, permitiendo que la ruta apunte a cualquier archivo del sistema, fuera del directorio de subidas permitido.
Productos y versiones afectadas
El complemento Ninja Forms - File Uploads para WordPress está afectado en todas las versiones hasta la 3.3.36 inclusive.
Impacto real
Un atacante no autenticado puede explotar esta vulnerabilidad para borrar cualquier archivo al que el usuario del servidor web (por ejemplo, www-data) tenga acceso de escritura en el servidor. Esto puede derivar en una ejecución remota de código (RCE) y una toma de control completa del sitio web.
Un escenario crítico documentado es el borrado del archivo wp-config.php de WordPress, lo que fuerza al sitio a entrar en su pantalla de configuración inicial, permitiendo al atacante reconfigurar la base de datos y tomar el control administrativo total.
¿Qué hacer?
Los administradores de sitios WordPress que utilicen este complemento deben actualizarlo de inmediato a la versión más reciente publicada después de la 3.3.36, tan pronto como esté disponible. Se recomienda revisar los registros del sitio en busca de actividad sospechosa relacionada con formularios de subida de archivos.
| CVE | CVE-2026-126537 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.1 / 10 |
| CWE | CWE-22 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto inferido de la descripción de NVD; el CPE estructurado aún no está publicado.
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.