Fuente base de datos: Wordfence Intelligence

Easy Form Builder by WhiteStudio <= 4.0.11 - Unauthenticated Privilege Escalation to Administrator via Password Recovery REST Endpoint (escalada de privilegios) - version 4.0.12

PLUGIN CRITICAL CVE-2026-13439

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Easy Form Builder que permite a un atacante no autenticado escalar privilegios a administrador a través de un endpoint de recuperación de contraseña. Este fallo, clasificado como CVE-2026-13439, puede comprometer seriamente la seguridad del sitio web si no se mitiga adecuadamente.

Contexto técnico

El fallo se origina en el endpoint REST de recuperación de contraseña del plugin Easy Form Builder, que no valida correctamente las solicitudes. Esto permite que un atacante sin autenticación pueda acceder a funciones reservadas para administradores, facilitando una escalación de privilegios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, permitiendo a atacantes no autenticados tomar control total del sitio web. Esto podría resultar en la modificación de contenido, robo de datos sensibles o incluso la instalación de malware, afectando la reputación y la operativa del negocio.

Vector de explotación

La explotación se realiza enviando solicitudes maliciosas al endpoint de recuperación de contraseña, lo que permite obtener privilegios de administrador sin necesidad de autenticación previa.

Mitigación recomendada

Actualizar el plugin Easy Form Builder a la versión 4.0.12 o superior para corregir la vulnerabilidad. Revisar y reforzar la configuración de seguridad del sitio, limitando el acceso a endpoints sensibles. Implementar medidas de monitoreo para detectar accesos no autorizados o actividades inusuales.

Señales de detección

Monitorizar los logs de acceso en busca de solicitudes inusuales al endpoint de recuperación de contraseña, así como cambios inesperados en los roles de usuario.

Alcance afectado

Las versiones del plugin Easy Form Builder hasta la 4.0.11 son vulnerables. La versión 4.0.12 y posteriores contienen la corrección. No se han reportado casos de explotación confirmados hasta la fecha.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

bricksforge

Bricksforge <= 3.1.8.6 - Unauthenticated Privilege Escalation via Pro Forms fieldIds Parameter

HIGH PLUGIN

wpfunnels

WPFunnels <= 3.12.8 - Authenticated (Funnel Manager+) Privilege Escalation via 'group_id' Path Parameter

HIGH PLUGIN

digits

Digits: WordPress Mobile Number Signup and Login <= 9.1.0.5 - Authenticated (Subscriber+) Privilege Escalation via 'digits_reg_userrole' Parameter

CRITICAL PLUGIN

aimogen-pro

Aimogen Pro - All-in-One AI Content Writer, Editor, ChatBot & Automation Toolkit <= 2.8.4 - Unauthenticated Privilege Escalation via 'aiomatic_call_google_ai_function'

HIGH PLUGIN

simple-jwt-login

Simple JWT Login <= 3.6.6 - Authenticated (Subscriber+) Authentication Bypass to Privilege Escalation via 'payload' Parameter

HIGH PLUGIN

genolve-toolkit

Genolve – AI image AI video generation <= 5.0.5 - Authenticated (Contributor+) Incorrect Authorization to Privilege Escalation via theopt

HIGH PLUGIN

wp-grid-builder

WP Grid Builder <= 2.3.3 - Authenticated (Subscriber+) Privilege Escalation via 'key' Parameter

CRITICAL PLUGIN

mailoptin

MailOptin – Popup, Optin Forms & Email Newsletters for Mailchimp, HubSpot, AWeber Etc. <= 1.2.77.3 - Unauthenticated Privilege Escalation

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto