Falla crítica en Contact Form 7 para WordPress deja subir archivos sin clave

Contact Form 7, el complementoPrograma que se instala sobre otro, como WordPress o un navegador, para sumarle funciones, por ejemplo formularios, tiendas o mapas. Una falla en un complemento puede abrir el sitio entero. de formularios para WordPress con más de 10 millones de instalaciones activas según el directorio de WordPress.org, tiene una falla que permite a cualquier visitante, sin usuario ni contraseña, subir archivos al sitio a través de un formulario con campo de adjuntos. La falla recibió el código CVE-2026-114432 el 8 de noviembre a las 06:17 UTC, y a las 18:57 UTC (15:57 en Buenos Aires, Santiago y São Paulo, 13:57 en Bogotá y Lima, 12:57 en Ciudad de México) la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) le asignó un puntaje CVSSEstándar abierto de la industria, promovido por la organización FIRST, que asigna un puntaje a cada vulnerabilidad para expresar su gravedad y ayudar a decidir con qué urgencia responder. de 9,8 sobre 10, crítico, según el registro en NVD.

En algunos servidores el archivo subido se puede ejecutar, y eso le da al atacante el control del sitio. El arreglo existe desde el 29 de octubre, en la versión 6.2.4, según Rescana, una firma de gestión de riesgos de proveedores que es por ahora el único medio que cubrió la falla. WPScan, la base de datos de fallas de WordPress que registró el CVEIdentificador único que recibe cada vulnerabilidad conocida públicamente, con la forma CVE-año-número, para que fabricantes, investigadores y defensores hablen de la misma falla., anunció que mostrará su prueba de conceptoCódigo o demostración que muestra que una vulnerabilidad puede aprovecharse en la práctica, sin ser necesariamente una herramienta de ataque completa. el 19 de noviembre "para dar a los usuarios tiempo de actualizar".

Qué es la falla

En simple, el complemento no revisa qué tipo de archivo recibe en un campo de adjuntos, y un error en la limpieza de los archivos temporales hace que lo subido quede guardado en el servidor en vez de borrarse. Así, un desconocido puede dejar cualquier archivo en la carpeta de subidas del sitio.

El daño depende del servidor. En un Apache con la configuración de fábrica de Debian o Ubuntu, que tiene activo el listado de carpetasFunción de un servidor web que, cuando una carpeta no tiene página de inicio, muestra a cualquier visitante la lista de los archivos que contiene. Facilita que un atacante encuentre archivos que no deberían verse. y ejecuta los archivos .phar como PHP, el atacante encuentra su archivo y lo ejecuta, una ejecución remota de códigoVulnerabilidad o ataque, conocido por la sigla en inglés RCE, que permite a alguien ejecutar sus propias instrucciones en un equipo o servidor ajeno a distancia, por lo general a través de internet.. En nginx o en Apache con .htaccess habilitado, el riesgo baja a un archivo cualquiera en la carpeta de subidas, que igual puede servirse como HTML o SVG activo desde el dominio del propio sitio, según el registro de WPScan.

En lo técnico es una subida de archivos sin restricción de tipo (CWE-434), por la red y sin autenticación. La nota de Patchstack, otra base de datos de fallas de WordPress, explica que la versión 6.2 dejó de comprobar el tipo de archivo antes de guardarlo en wp-content/uploads/wpcf7_uploads/, que los archivos rechazados nunca se borraban y que la lista de extensiones bloqueadas no incluía .phar, .pht, .phps ni .htaccess.

A quién afecta

• Contact Form 7 de la versión 6.2 a la 6.2.3, según WPScan y Patchstack. La 6.1.7 y anteriores no están afectadas, según Patchstack.
• Solo los sitios que tienen al menos un formulario con campo de archivo.
• El riesgo mayor está en Apache sobre Debian o Ubuntu con el listado de carpetas activo y .phar asociado a PHP.

Estado de explotación

Sin explotación conocida, según CISA, que en su evaluación del 8 de noviembre registró que no hay explotación y que el ataque se puede automatizar, y según Rescana. La falla no figura en el catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de CISA en la versión del 9 de noviembre.

Las fuentes no coinciden en la gravedad. Patchstack, que publicó la falla el 31 de octubre, le da 8,1 puntos y prioridad media, porque el archivo queda en una carpeta con un nombre aleatorio de diez dígitos que el atacante solo encuentra si el servidor muestra el contenido de las carpetas. Su ficha además la rotula como "conocida por ser explotada", sin dar ningún dato que lo respalde, y CISA no la tiene en su catálogo.

Qué hacer

• Actualizar Contact Form 7 a la versión 6.2.4 o posterior y verificar la versión instalada en cada sitio. WordPress.org ya ofrece la 6.2.4.1.
• Mientras tanto, desactivar el listado de carpetas e impedir la ejecución de archivos en wp-content/uploads, como medida parcial, y quitar el campo de archivo de los formularios que no lo necesitan.
• Revisar wp-content/uploads/wpcf7_uploads/ en busca de archivos inesperados, sobre todo .phar, .pht, .phps o .htaccess. Actualizar no borra lo que ya se subió.
• Quien tenga su sitio a cargo de una agencia o un proveedor, pedirle la versión exacta del complemento, como sugiere Rescana.

Ficha técnica

• Producto: Contact Form 7, complemento para WordPress.
• CVE: CVE-2026-114432, publicado el 8 de noviembre de 2026.
• CVSS: 9,8 (crítica) según CISA, vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, y 8,1 según Patchstack.
• CWE: CWE-434, subida de archivos de tipo peligroso.
• Versiones afectadas: 6.2 a 6.2.3, corregidas en la 6.2.4, del 29 de octubre de 2026.
• Registro de WPScan: publicado el 5 de noviembre de 2026, con prueba de concepto prevista para el 19 de noviembre.
• Alta en el catálogo KEV de CISA: ninguna al 9 de noviembre de 2026.