Fuente base de datos: Wordfence Intelligence

WPForms <= 1.10.0.4 - Unauthenticated Insufficient Verification of Data Authenticity via PayPal Commerce Webhook Endpoint en Wpforms Lite - version 1.10.0.5

PLUGIN MEDIUM CVE-2026-7792

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de ejecución remota de código (RCE) en WPForms hasta la versión 1.10.0.4, relacionada con la insuficiente verificación de la autenticidad de los datos a través del endpoint de PayPal Commerce. Esta falla puede comprometer la seguridad del sitio, permitiendo a atacantes no autenticados ejecutar código malicioso.

Contexto técnico

La vulnerabilidad se origina en el componente WPForms, específicamente en la gestión de datos recibidos a través de un webhook de PayPal Commerce. La falta de verificación adecuada de la autenticidad de estos datos expone el sistema a ataques que pueden ser ejecutados sin necesidad de autenticación previa.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código de forma remota, comprometiendo la integridad y disponibilidad del sitio web. Esto podría resultar en la pérdida de datos sensibles o en la alteración del funcionamiento del sitio, afectando la confianza de los usuarios y la reputación de la organización.

Vector de explotación

La explotación se realiza mediante el envío de datos manipulados a través del webhook de PayPal, lo que permite al atacante ejecutar comandos arbitrarios en el servidor.

Mitigación recomendada

Actualizar WPForms a la versión 1.10.0.5 o superior para corregir la vulnerabilidad. Revisar y reforzar las configuraciones de seguridad relacionadas con los webhooks. Implementar medidas de monitoreo para detectar accesos no autorizados o comportamientos anómalos.

Señales de detección

Monitorear los logs de acceso en busca de solicitudes inusuales al endpoint de PayPal y revisar configuraciones de seguridad que puedan haber sido alteradas.

Alcance afectado

Las versiones de WPForms hasta la 1.10.0.4 están afectadas. No se ha confirmado la existencia de casos en versiones posteriores a la 1.10.0.5.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

wpforms-lite

WPForms <= 2.0.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via OptinMonster Integration data-sitekey Attribute in Post Content

CRITICAL WORDPRESS

wp-core

WordPress Core 6.9 - 7.0.1 - Remote Code Execution via REST API Batch Request Route Confusion

HIGH PLUGIN

wp-user-avatar

Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content <= 4.16.18 - Authenticated (Author+) Limited Unsafe File Upload via upload_mimes Filter Expansion

MEDIUM PLUGIN

erp

ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce <= 1.17.6 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Company Location Creation via wp_ajax_erp-company-location AJAX Handler

HIGH PLUGIN

loco-translate

Loco Translate <= 2.8.5 - Cross-Site Request Forgery to Remote Code Execution via 'template' Parameter

MEDIUM PLUGIN

woo-bulk-edit-products

Bulk Edit Products for WooCommerce – WP Sheet Editor <= 1.8.21 - Missing Authorization

MEDIUM PLUGIN

woocommerce-pdf-invoices-packing-slips

PDF Invoices & Packing Slips for WooCommerce <= 5.14.0 - Insecure Direct Object Reference to Authenticated (Contributor+) Sensitive Information Disclosure via 'order_id' Shortcode Attribute

MEDIUM PLUGIN

wc-frontend-manager

WCFM – Frontend Manager for WooCommerce <= 6.7.27 - Authenticated (Subscriber+) Missing Authorization to Arbitrary Vendor Data Manipulation via Multiple AJAX Handlers

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto