BuddyPress XProfile Image Field: fallo crítico de borrado de archivos

Qué es y a quién afectaEl plugin BuddyPress XProfile Image Field para WordPress permite añadir un campo de imagen de perfil a los formularios de regis...

Qué es y a quién afecta

El plugin BuddyPress XProfile Image Field para WordPress permite añadir un campo de imagen de perfil a los formularios de registro de BuddyPress. Según la National Vulnerability Database (NVD) del NIST, todas las versiones hasta la 3.1.0 inclusive arrastran una vulnerabilidad de borrado arbitrario de archivos identificada como CVE-2026-120518, con una gravedad CVSS 3.1 de 9.1 (CRITICAL) y vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H. El fallo se clasifica como CWE-22, es decir, un problema de resolución de rutas.

El origen está en la función bpxp_image_field_update_on_user_activation(), que llama a unlink() sobre una ruta construida a partir de metadatos enviados por el visitante. No hay resolución con realpath(), ni comprobación de que la ruta quede contenida en el directorio de imágenes de perfil, ni lista blanca de extensiones. Si durante el registro se envía un archivo de cero bytes con el parámetro field_N_hidden, el plugin guarda el valor en bruto y lo resuelve contra la raíz del documento cuando se activa el registro pendiente.

El resultado: un atacante no autenticado puede borrar archivos arbitrarios del servidor. La explotación requiere que el registro esté abierto y que el formulario de alta incluya un campo de perfil de tipo imagen. En un WordPress con BuddyPress esto es habitual en comunidades, áreas privadas de clientes o portales de socios. Si se elimina un archivo sensible como wp-config.php, el impacto puede escalar hasta la ejecución remota de código.

Por qué conviene actuar sin esperar

La ficha de CVE-2026-120518, publicada en NVD el 3 de noviembre de 2026, no consta en el catálogo KEV de CISA, por lo que no hay constancia pública de que se esté explotando en ataques reales. Eso no significa que se pueda ignorar: la combinación de acceso sin credenciales, complejidad baja y ausencia de interacción del usuario hace que cualquier escaneo automatizado pueda localizar instalaciones vulnerables en cuanto el detalle sea público.

En el contexto español, muchas pymes y comercios online mantienen webs WordPress con plugins de comunidad instalados y olvidados, a menudo sin un equipo de IT dedicado. Un borrado de archivos silencioso puede tardar días en manifestarse, y para entonces la web ya puede estar caída o comprometida. La ventana entre la publicación del CVE y los primeros intentos de explotación suele medirse en horas, no en semanas.

Qué hacer hoy

Comprobar si el plugin está instalado y en qué versión. Entra en el panel de WordPress, revisa la lista de plugins y confirma la versión de BuddyPress XProfile Image Field. Si es la 3.1.0 o anterior, estás expuesto.
Aplicar la actualización o mitigación que indique el aviso del fabricante. La NVD no detalla en el material una versión corregida concreta, así que consulta la ficha del plugin y las notas oficiales antes de dar por resuelto el problema. Si aún no hay parche disponible, valora desactivar el plugin de forma temporal.
Revisar indicios de intrusión. Busca registros de usuarios sospechosos, archivos que hayan desaparecido sin explicación, errores de PHP relacionados con unlink() y cambios en el núcleo o en wp-config.php. Comprueba también los logs de acceso al formulario de registro.
Reducir lo expuesto a internet. Si el registro abierto no es imprescindible, ciérralo o protégelo con verificación por correo e invitación. Retira campos de imagen del formulario de alta mientras no haya corrección y limita el acceso al área de registro desde el servidor o el WAF.
Reforzar el entorno. Mantén copias de seguridad recientes y verificables, aplica hardening al servidor y revisa los permisos de escritura del usuario web.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Lleida, Barcelona, Tarragona y Girona que tienen webs en WordPress, PrestaShop o Joomla y no siempre cuentan con un departamento de IT completo. Ante un fallo como CVE-2026-120518, lo primero es saber con certeza qué hay instalado y en qué versión: una auditoría de seguridad y un pentesting permiten detectar plugins vulnerables y configuraciones de riesgo antes de que alguien las aproveche.

Además del análisis puntual, aplicamos hardening de servidores, mantenemos actualizados los gestores de contenido y sus extensiones, y desplegamos monitorización y respuesta a incidentes para detectar comportamientos anómalos a tiempo. Si la web ya ha sido hackeada o presenta archivos borrados, nos encargamos de la reparación, la limpieza y la vuelta a un estado seguro, siempre con el RGPD y la LOPDGDD en el punto de mira cuando hay datos personales implicados.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.

Resultados sin salir de la página.