Saltar al contenido

Radar en marcha

Bastion/Radar

[■] Expediente CVE-2026-119075

Hay corrección

CVE-2026-119075: gestión incorrecta de privilegios en Registration Form for WooCommerce

Gestión incorrecta de privilegios en Registration Form for WooCommerce, de gravedad crítica (9,8 sobre 10). Se puede atacar a distancia, sin credenciales y sin que la víctima haga nada. Hay versión corregida.

CVSS 3.1
9,8
Crítica
Explotación
No confirmada
sin entrada en CISA KEV
EPSS 30 d
0,5 %
probabilidad de explotación
Corrección
1.1.5
la más reciente
Publicada
6 nov. 2026
modificada el 7 nov. 2026

También conocida como 714d10b0-526c-4347-a369-85fc32ef3478

[■] Explicado

Registration Form for WooCommerce permitía crear cuentas administradoras desde el checkout

Una persona sin cuenta podía aprovechar el registro durante el checkout para crear un usuario administrador en webs con Registration Form for WooCommerce hasta la versión 1.1.4. Actualiza el plugin a la versión 1.1.5 o posterior.

Para todos

Qué es

El formulario de registro durante la compra no comprobaba correctamente qué permisos podía recibir una cuenta nueva. Así, alguien podía enviar una petición preparada para obtener una cuenta de administrador sin iniciar sesión previamente.

Qué te puede pasar

Una cuenta administradora puede dar acceso al control de la web. Si tienes instalada la versión 1.1.4 o anterior, actualiza el plugin a la 1.1.5 o posterior.

Fuentes [S1] [S2]

Para técnicos

Cómo funciona

El fallo está en la ruta de registro del checkout de Registration Form for WooCommerce. Según Wordfence, FormHandler::validate_checkout_fields() guardaba el valor recibido en user_roles sin comprobarlo frente a los roles permitidos; después, add_user_data() lo utilizaba al crear la cuenta. Una petición de red sin autenticación podía indicar el rol de administrador durante el registro en el checkout. La ruta de registro de «Mi cuenta» sí realizaba esa comprobación.

Desde dónde
Por red (Internet)
Qué necesita
Ninguna cuenta
Interacción
No hace falta que nadie haga nada
Impacto
El vector CVSS indica impacto alto en confidencialidad, integridad y disponibilidad. La cuenta administradora obtenida puede permitir el control completo de la web.

Fuentes [S1] [S2]

Explotación

Sin constancia de explotación

La ficha indica que la vulnerabilidad no consta en el catálogo KEV de CISA.

Fuentes [S1] [S2] [S3]

Qué hacer

  1. 01

    Hoy · WordPress

    Actualiza Registration Form for WooCommerce a la versión 1.1.5 o posterior. La versión 1.1.5 corrige el problema.

    Fuentes [S1] [S2] [S3]

Preguntas frecuentes

¿Qué versiones de Registration Form for WooCommerce están afectadas?

Las versiones hasta la 1.1.4, incluida. La corrección está en la 1.1.5.

Fuentes [S1] [S2] [S3]

¿Hace falta iniciar sesión para aprovechar el fallo?

No. La vulnerabilidad podía aprovecharse desde el registro durante el checkout sin una cuenta previa.

Fuentes [S2]

¿Cómo se corrige CVE-2026-119075?

Actualiza Registration Form for WooCommerce a la versión 1.1.5 o posterior.

Fuentes [S2] [S3]

Glosario

Escalada de privilegios
Cuando una cuenta o una petición consigue permisos superiores a los que debería tener, por ejemplo, permisos de administrador.
Checkout
El proceso de compra en el que se revisa el pedido y se introducen los datos para completar el pago.

De dónde sale cada dato

Cada afirmación lleva su llamada ([S1], [S2]…) a una de estas fuentes. No reproducimos su texto: lo hemos leído, contrastado y contado con nuestras palabras.

  1. S1
    Ficha de CVE-2026-119075 para Registration Form for WooCommerce

    Versiones afectadas, versión corregida, vector CVSS y estado KEV.

    Bastion Radar Bastion Radar · bastionradar.com

  2. S2
    Aviso de seguridad de Registration Form for WooCommerce hasta la versión 1.1.4

    Causa, componente, ruta de ataque, impacto y versión corregida.

    Wordfence Intelligence (Defiant) Base de vulnerabilidades · wordfence.com

  3. S3
    Directorio oficial y registro de cambios de Registration Form for WooCommerce

    Confirma que la versión 1.1.5 corrige la asignación no autorizada de roles durante el checkout.

    WordPress.org / ThemeGrill Fabricante · wordpress.org

Redactado por Bastion Radar con ayuda de un modelo de lenguaje a partir de los datos del radar y de las fuentes citadas, que el modelo consultó. Después se comprueba afirmación por afirmación y sólo se publica si todo cuadra. Cómo funciona.

Incluye información de vulnerabilidades de Wordfence Intelligence. Copyright Defiant Inc., bajo licencia de Defiant.

CVE® es una marca registrada de The MITRE Corporation. Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.

[A] Comprobación

¿Me afecta?

Escribe tu versión y te decimos si cae en alguno de los tramos afectados. No se guarda nada.

Mi versión de Registration Form for WooCommerce

Versiones afectadas de Registration Form for WooCommerce

1 tramo · según Wordfence Intelligence (Defiant)

  • todas las anteriores hasta la 1.1.4 1.1.5

[B] Qué hacer

¿Cómo lo soluciono?

  1. 01

    Actualiza Registration Form for WooCommerce a la 1.1.5 o posterior.

    Es la corrección más reciente que dan las fuentes.

  2. 02

    Que no te pille la próxima.

    Añade Registration Form for WooCommerce a Mi stack y tendrás a mano lo que salga de lo que usas.

[C] Cronología

Qué ha pasado

  1. 6 nov. 2026 T0

    Se publica la vulnerabilidad

    según Wordfence Intelligence (Defiant)

  2. 7 nov. 2026 T0

    Hay una versión corregida

    según Wordfence Intelligence (Defiant)

[D] Trazabilidad

Fuentes

Incluye información de vulnerabilidades de Wordfence Intelligence. Copyright Defiant Inc., bajo licencia de Defiant.

CVE® es una marca registrada de The MITRE Corporation. Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.

Datos reinterpretados por Bastion Radar a partir de las fuentes citadas. Fuentes y licencias.