Un fallo crítico sin parche afecta al plugin Confection de WordPress

La vulnerabilidad se hizo pública el 9 de noviembre de 2026 a través de la ficha CVE-2026-115252. El fallo está en el propio proceso de guardado de ajustes del plugin: Confection Cable no comprueba ni los permisos del usuario ni el token de seguridad (nonce) antes de escribir su configuración. Uno de esos ajustes se vuelca tal cual en un archivo PHP independiente que el propio plugin sirve después. El resultado es que cualquiera puede inyectar código PHP y lograr que el servidor lo ejecute sin haber iniciado sesión en ningún momento.

Qué plugin y qué versiones de WordPress están afectadas

El problema afecta únicamente a Confection WordPress Cable, en las versiones que van de la 0.4.0 a la 0.4.7. Si administras una web con WordPress y tienes instalado este plugin dentro de ese rango, tu servidor es vulnerable a este fallo concreto.

No hay constancia de que el fallo afecte a otras versiones posteriores ni a otros complementos relacionados. Tampoco se ha publicado cuántas instalaciones usan este plugin en producción, así que no es posible precisar cuántos sitios están expuestos ahora mismo. Esa falta de contexto sobre el alcance real es la razón por la que el índice de relevancia que calcula cve.now para este CVE se mantiene provisional, en 35 sobre 100: subiría a 80 si la CISA incorpora el fallo a su catálogo de vulnerabilidades explotadas conocidas (KEV), a 75 si confirma explotación activa, o a 40 si algún aviso de seguridad confirma que las instalaciones por defecto quedan expuestas.

Cómo logra un atacante ejecutar código sin credenciales

El vector de ataque, según el CVSS 3.1 asociado (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H), se ejecuta por red, no requiere complejidad técnica ni privilegios previos, y tampoco necesita que la víctima haga clic en nada. La puntuación de severidad llega a 10 sobre 10, el máximo que contempla la escala, porque un ataque exitoso compromete a la vez la confidencialidad, la integridad y la disponibilidad del servidor.

CISA ha evaluado el fallo con su metodología SSVC y lo marca como automatizable, con un impacto técnico total, aunque de momento no detecta explotación activa. Un ataque automatizable como este podría traducirse en scripts que rastreen instalaciones vulnerables por internet y las comprometan de forma masiva, aunque hasta la fecha no hay código de explotación público en repositorios como Exploit-DB, Metasploit o GitHub. Dentro del desglose del índice de cve.now, el apartado de explotación activa suma 0 de 40 puntos posibles, mientras que la ausencia de parche aporta 5 de 5 y la exposición, 20 de 25, los factores que más pesan en su cálculo de riesgo.

Qué hacer hasta que haya parche

A día de hoy no existe ninguna actualización oficial que corrija el fallo. La ficha del CVE confirma que no hay corrección listada, así que actualizar el plugin no es, todavía, una solución disponible para cerrar el hueco de seguridad.

Mientras el desarrollador no publique una versión segura, lo más razonable es reducir la exposición con medidas que no dependen de un parche:

• Desactiva el plugin Confection WordPress Cable si tu versión está entre la 0.4.0 y la 0.4.7, al menos hasta que exista una actualización oficial.
• Si necesitas mantenerlo activo, configura tu firewall de aplicaciones web (WAF) para bloquear peticiones sospechosas dirigidas a los endpoints de guardado de ajustes del plugin.
• Revisa los permisos del sistema de archivos para evitar que se puedan ejecutar archivos PHP en directorios donde no debería ser posible.
• Aísla el servidor en una red segmentada si gestionas varias webs en la misma infraestructura, para limitar el alcance de un posible compromiso.

La ficha de seguimiento se actualizó por última vez el 9 de noviembre a las 13:51 UTC, apenas tres horas después de la publicación inicial del fallo, sin que conste ninguna corrección adicional desde entonces.