Una grave falla de seguridad en el popular plugin de WordPress Ninja Forms – File Upload ha dejado aproximadamente 50.000 sitios web vulnerables a una toma de control completa. Registrada como CVE-2026-0740, esta vulnerabilidad tiene una puntuación de gravedad CVSS máxima de 9.8, lo que la convierte en una amenaza severa que requiere atención inmediata por parte de los administradores de sitios web.

Una falla de seguridad crítica en el popular plugin de WordPress “Ninja Forms – File Upload” ha dejado aproximadamente 50.000 sitios web vulnerables a un secuestro completo.

Registrada como CVE-2026-0740, esta vulnerabilidad tiene una puntuación de gravedad CVSS máxima de 9.8, lo que la convierte en una amenaza severa que requiere atención inmediata por parte de los administradores de sitios web.​

Descubierta por el investigador de seguridad Sélim Lanouar, quien ganó una recompensa de $2.145 por el hallazgo, la vulnerabilidad se clasifica como Subida Arbitraria de Archivos sin Autenticación.

En términos simples, esto significa que cualquiera en internet puede subir archivos maliciosos a un sitio web objetivo sin necesidad de una cuenta, nombre de usuario o contraseña.

Si se explota con éxito, un atacante puede lograr Ejecución Remota de Código (RCE), otorgándole control total sobre el servidor web subyacente.​

50.000 sitios de WordPress expuestos

El complemento Ninja Forms File Upload está diseñado para gestionar envíos de archivos de usuarios a través de la función PHP específica handle_upload().

Al procesar estos archivos, esta función llama al método _process() para mover los archivos temporales subidos a su carpeta de destino final en el servidor.

Aunque el plugin intenta verificar el tipo de archivo original subido, ocurre un error crítico justo antes de guardar el archivo.

El código no valida la extensión del archivo de destino durante la operación move_uploaded_file(). Además, el plugin carece de una sanitización adecuada del nombre del archivo.

Esta peligrosa combinación permite a un atacante astuto manipular la ruta del archivo, una técnica conocida como recorrido de ruta (path traversal).

Al hacerlo, pueden eludir las restricciones previstas y subir archivos .php altamente peligrosos directamente al directorio raíz del sitio web, evitando por completo los controles de seguridad normales.

Una vez que se sube y ejecuta un script PHP malicioso, a menudo llamado webshell, las consecuencias son desastrosas.

El atacante adquiere la capacidad de ejecutar comandos directamente en el servidor web, lo que lleva a un compromiso total del sitio.

​A partir de ahí, los actores de amenazas pueden robar información sensible de la base de datos, inyectar malware en páginas legítimas, redirigir visitantes a sitios de spam maliciosos o usar el servidor comprometido para lanzar más ciberataques contra otros objetivos.​

La vulnerabilidad afecta a todas las versiones del plugin Ninja Forms File Upload hasta la versión 3.3.26, inclusive.

Wordfence recibió inicialmente el informe del error y rápidamente implementó protecciones de firewall para usuarios premium el 8 de enero de 2026, extendiendo esas protecciones a usuarios gratuitos el 7 de febrero.

Los desarrolladores del plugin trabajaron para resolver el problema, lanzando una solución parcial en la versión 3.3.25 y un parche final y completo en la versión 3.3.27 el 19 de marzo de 2026.​

Si gestionas un sitio web de WordPress que usa este complemento específico de Ninja Forms, es crucial que actualices el plugin a la versión 3.3.27 o superior de inmediato.

Dado que esta falla crítica no requiere autenticación y es sencilla de explotar para los atacantes, los sitios sin parchear siguen siendo blancos fáciles para scripts automatizados de escaneo web.