Saltar al contenido

Radar en marcha

Bastion/Radar

[■] Expediente CVE-2026-107622

Hay corrección

CVE-2026-107622: gestión incorrecta de privilegios en BuddyForms

Gestión incorrecta de privilegios en BuddyForms, de gravedad crítica (9,8 sobre 10). Se puede atacar a distancia, sin credenciales y sin que la víctima haga nada. Hay versión corregida.

CVSS 3.1
9,8
Crítica
Explotación
No confirmada
sin entrada en CISA KEV
EPSS 30 d
0,7 %
probabilidad de explotación
Corrección
2.10.6
la más reciente
Publicada
5 nov. 2026
modificada el 6 nov. 2026

También conocida como 2e83e654-f8a6-44a6-a687-92606331309e

[■] Explicado

BuddyForms puede crear cuentas de administrador si el registro está abierto y hay un formulario público

BuddyForms hasta la versión 2.10.5 tiene un fallo que, si la web permite registrarse a cualquiera y publica al menos un formulario BuddyForms, puede dejar que un visitante cree una cuenta de administrador. Actualiza el plugin a la versión 2.10.6 o posterior.

Para todos

Qué es

Un fallo en la gestión de los formularios puede permitir que una persona sin cuenta manipule cómo se procesa un envío y cambie la configuración de un formulario.

Qué te puede pasar

Si la web permite registrarse a cualquiera y tiene al menos un formulario público de BuddyForms, el atacante podría registrarse con permisos de administrador y hacerse con el control de la web.

Fuentes [S1] [S2]

Para técnicos

Cómo funciona

El envío público pasa por buddyforms_form_response_no_ajax(). El código confía en el parámetro bf_post_type enviado por el visitante al crear un objeto nuevo; la comprobación existente no cubre ese caso. Después, el listener buddyforms_edit_form_save_meta_box_data() guarda opciones del formulario sin comprobar permisos ni verificar un nonce del constructor. Así se podría introducir una configuración de formulario con un rol de registro controlado por el atacante. Para completar el ataque, la web debe permitir el registro abierto y tener un formulario BuddyForms público asociado a una página.

Desde dónde
Por red (Internet)
Qué necesita
Ninguna cuenta
Interacción
No hace falta que nadie haga nada
Impacto
La ficha asigna impacto alto en confidencialidad, integridad y disponibilidad. En las condiciones indicadas, el resultado posible es una cuenta de administrador y el control total de la web.

Fuentes [S1] [S2]

Explotación

Sin constancia de explotación

La ficha del radar no registra una fecha de incorporación a CISA KEV.

Fuentes [S1]

Qué hacer

  1. 01

    Hoy · WordPress

    Actualiza BuddyForms a la versión 2.10.6 o posterior. La versión 2.10.6 incluye cambios de seguridad relacionados con el tipo de contenido de los envíos, el registro anónimo y las comprobaciones de permisos y nonce.

    Fuentes [S1] [S2] [S3]

Cómo saber si te afecta

  • En la lista de plugins de WordPress, comprueba la versión de BuddyForms. Si es la 2.10.5 o anterior, la instalación está dentro del tramo afectado.

    Fuentes [S1] [S2]

Preguntas frecuentes

¿Qué versiones de BuddyForms están afectadas por CVE-2026-107622?

Todas las versiones hasta la 2.10.5, incluida. La corrección indicada es la 2.10.6.

Fuentes [S1] [S2]

¿Puede atacarse BuddyForms sin una cuenta?

Sí. Según Wordfence, no hacen falta credenciales, pero el ataque requiere que el registro abierto esté habilitado y que haya un formulario público de BuddyForms asociado a una página.

Fuentes [S2]

¿Se sabe si esta vulnerabilidad se está explotando?

No consta una explotación confirmada en las fuentes consultadas; la ficha del radar también indica que no está en CISA KEV.

Fuentes [S1] [S2]

¿Cómo se corrige CVE-2026-107622 en BuddyForms?

Actualiza el plugin a la versión 2.10.6 o posterior.

Fuentes [S1] [S2] [S3]

Glosario

Escalada de privilegios
Cuando alguien consigue permisos superiores a los que debería tener; en este caso, permisos de administrador.
Nonce
Un valor temporal que una aplicación comprueba para confirmar que una acción procede de una petición legítima.
Listener
Una función que se ejecuta cuando ocurre un evento concreto, como guardar un contenido en WordPress.

De dónde sale cada dato

Cada afirmación lleva su llamada ([S1], [S2]…) a una de estas fuentes. No reproducimos su texto: lo hemos leído, contrastado y contado con nuestras palabras.

  1. S1
    Ficha de CVE-2026-107622 para BuddyForms

    Versiones afectadas, versión corregida, vector CVSS y estado de explotación.

    Bastion Radar Bastion Radar · bastionradar.com

  2. S2
    Aviso de seguridad sobre la escalada de privilegios en BuddyForms

    Causa técnica, condiciones necesarias, versiones afectadas y corrección.

    Wordfence Intelligence (Defiant) Investigación · wordfence.com

  3. S3
    Página y registro de cambios de BuddyForms

    Registro de cambios de la versión 2.10.6 y correcciones de seguridad del plugin.

    WordPress.org Fabricante · en-nz.wordpress.org

Redactado por Bastion Radar con ayuda de un modelo de lenguaje a partir de los datos del radar y de las fuentes citadas, que el modelo consultó. Después se comprueba afirmación por afirmación y sólo se publica si todo cuadra. Cómo funciona.

Incluye información de vulnerabilidades de Wordfence Intelligence. Copyright Defiant Inc., bajo licencia de Defiant.

CVE® es una marca registrada de The MITRE Corporation. Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.

[A] Comprobación

¿Me afecta?

Escribe tu versión y te decimos si cae en alguno de los tramos afectados. No se guarda nada.

Mi versión de BuddyForms

Versiones afectadas de BuddyForms

1 tramo · según Wordfence Intelligence (Defiant)

  • todas las anteriores hasta la 2.10.5 2.10.6

[B] Qué hacer

¿Cómo lo soluciono?

  1. 01

    Actualiza BuddyForms a la 2.10.6 o posterior.

    Es la corrección más reciente que dan las fuentes.

  2. 02

    Que no te pille la próxima.

    Añade BuddyForms a Mi stack y tendrás a mano lo que salga de lo que usas.

[C] Cronología

Qué ha pasado

  1. 5 nov. 2026 T0

    Se publica la vulnerabilidad

    según Wordfence Intelligence (Defiant)

  2. 6 nov. 2026 T0

    Hay una versión corregida

    según Wordfence Intelligence (Defiant)

[D] Trazabilidad

Fuentes

Incluye información de vulnerabilidades de Wordfence Intelligence. Copyright Defiant Inc., bajo licencia de Defiant.

CVE® es una marca registrada de The MITRE Corporation. Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.

Datos reinterpretados por Bastion Radar a partir de las fuentes citadas. Fuentes y licencias.