Vulnerabilidad crítica en Ninja Forms File Uploads (WordPress)

Vulnerabilidad crítica en Ninja Forms File Uploads (WordPress)

Qué es y a quién afectaLa extensión File Uploads de Ninja Forms, un complemento muy extendido para formularios en WordPress, arrastra un fallo grave d...

Qué es y a quién afecta

La extensión File Uploads de Ninja Forms, un complemento muy extendido para formularios en WordPress, arrastra un fallo grave de seguridad identificado como CVE-2026-126537. Según la descripción recogida en la National Vulnerability Database (NVD) del NIST, el problema afecta a todas las versiones hasta la 3.3.36 inclusive.

Metáfora visual de un fichero de configuración de WordPress siendo borrado por una extensión vulnerable del plugin Ninja Forms

El fallo se clasifica como CWE-22, es decir, un problema de salto de ruta (path traversal) que permite a un atacante manipular rutas de ficheros fuera de lo previsto. En la práctica, la vulnerabilidad habilita el borrado arbitrario de ficheros en el servidor de la web y, además, la posible lectura arbitraria de ficheros mediante la exfiltración a través de los servicios externos S3, Dropbox o Google Drive que la extensión soporta.

La NVD le asigna una puntuación CVSS 3.1 de 9.1 (CRITICAL), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H. Traducido: se puede atacar por red, sin autenticación previa y sin interacción de la víctima. La fecha de publicación en NVD es el 11 de noviembre de 2026.

¿Quién está expuesto? Cualquier web WordPress que tenga instalada y activa la extensión File Uploads de Ninja Forms en una versión igual o inferior a la 3.3.36. Es un escenario habitual en pymes, comercios online y proyectos con formularios de contacto o de subida de documentos, un perfil muy común entre empresas de Lleida, Barcelona, Tarragona o Girona que mantienen su web con un equipo de IT reducido.

Por qué es urgente

El fallo no consta en el catálogo KEV de CISA, por lo que no hay constancia pública de que se esté explotando de forma activa en este momento. Eso no lo convierte en un problema menor: una puntuación CVSS de 9.1 (CRITICAL) indica que el impacto potencial es máximo si alguien decide aprovecharlo.

El vector de ataque es especialmente preocupante por su sencillez. Según la descripción técnica, el fallo se apoya en dos puntos del código de la extensión: la función de procesamiento de subidas, que devuelve el control antes de tiempo cuando una petición pública incluye un parámetro de guardado de progreso, y la función de carga externa, cuya recarga de ruta autoritativa solo se activa si el cliente envía un identificador de subida. Si ese identificador se omite, la ruta de fichero aportada por el atacante sobrevive hasta la cola de subida en segundo plano y se usa tanto para el envío al almacenamiento externo como para la llamada de borrado en el servidor, sin comprobación de contención en el directorio de subidas.

El resultado es que un atacante no autenticado puede borrar ficheros del servidor. Y aquí está el riesgo más serio: si se elimina el fichero wp-config.php, WordPress se reinicia en su pantalla de instalación, lo que abre la puerta a una toma de control completa del sitio. En algunos escenarios, el borrado arbitrario también puede facilitar la ejecución remota de código.

Qué hacer hoy

  • Comprueba si usas la extensión. Entra en el panel de WordPress y revisa si la extensión File Uploads de Ninja Forms está instalada y activa. Anota la versión exacta que muestra el gestor de plugins.
  • Actualiza según el aviso del fabricante. Si tu versión es la 3.3.36 o anterior, aplica la actualización o la mitigación que indique el aviso oficial de Ninja Forms. No des por hecho qué versión corrige el fallo: consulta la comunicación del fabricante antes de decidir.
  • Busca indicios de intrusión. Revisa si el fichero wp-config.php sigue en su sitio, si la web ha aparecido alguna vez en la pantalla de instalación de WordPress, si hay ficheros que faltan en el servidor o si se han registrado subidas extrañas en los formularios. Comprueba también los registros de acceso en busca de peticiones anómalas a los endpoints de subida.
  • Reduce lo expuesto a internet. Si no puedes actualizar de inmediato, valora desactivar temporalmente la extensión o restringir el acceso a los formularios de subida. Limita los servicios externos conectados (S3, Dropbox, Google Drive) a lo estrictamente necesario y revisa los permisos de escritura del servidor.
  • Refuerza el perímetro. Aplica hardening al servidor, mantén copias de seguridad recientes y verifica que puedes restaurar el sitio si algo falla.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes y comercios online que tienen webs en WordPress, PrestaShop o Joomla y que no siempre cuentan con un departamento de IT dedicado. Ante un fallo como CVE-2026-126537, lo primero es saber con certeza qué tienes instalado y en qué versión: una auditoría de seguridad y un pentesting permiten detectar extensiones vulnerables y otros puntos débiles antes de que alguien los aproveche.

A partir de ahí, el trabajo se centra en cerrar la puerta: hardening de servidores, actualización y mantenimiento continuo de los gestores de contenido y sus complementos, y monitorización para detectar actividad sospechosa a tiempo. Si el incidente ya ha ocurrido y la web ha sido hackeada o manipada, nos encargamos de la respuesta a incidentes y de la reparación del sitio, además de revisar que las copias de seguridad estén en condiciones de restaurarse.

La lección de este caso es clara: las extensiones de terceros son parte de la superficie de ataque de tu web y merecen la misma atención que el núcleo del CMS. Mantenerlas al día y revisar qué se expone a internet es la diferencia entre un susto y un problema serio.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.