CVE-2026-0740: fallo crítico en Ninja Forms File Uploads permite ejecución remota de código sin autenticación

Un fallo crítico en el complemento premium File Uploads de Ninja Forms para WordPress está siendo explotado en la práctica y puede permitir a atacantes subir archivos arbitrarios sin autenticación, con el riesgo real de ejecución remota de código en sitios vulnerables. La vulnerabilidad, registrada como CVE-2026-0740, recibió una puntuación de gravedad muy alta (CVSS 9.8/10) y afecta a las versiones de Ninja Forms File Upload hasta la 3.3.26; el desarrollador publicó una corrección completa en la versión 3.3.27 el 19 de marzo.

Ninja Forms es una herramienta muy extendida para crear formularios en WordPress mediante una interfaz visual; el plugin base acumula más de 600.000 descargas y su extensión de subida de archivos atiende a decenas de miles de clientes, según sus propias cifras en la página de extensiones (alrededor de 90.000 clientes). Esa popularidad convierte a la extensión vulnerable en un blanco atractivo para los atacantes: la empresa de seguridad Wordfence ha informado de miles de intentos de explotación cada día y ha bloqueado más de 3.600 ataques en 24 horas en sus muros de protección.

¿En qué consiste el problema técnico? Según el análisis de los investigadores de Wordfence, la función vulnerable no valida la extensión ni el tipo del archivo en el nombre de destino antes de mover el fichero al disco. Esa ausencia de controles permite subir ficheros con extensiones peligrosas —por ejemplo .php— y, además, manipular el nombre para generar travesías de directorio que sitúen el archivo en rutas accesibles desde el servidor web. En consecuencia, un actor malicioso puede colocar un script PHP dentro del árbol público del sitio y, al accederlo desde el navegador, ejecutar código en el servidor.

Las consecuencias prácticas van desde la implantación de shells web que otorgan control remoto, hasta la completa suplantación del sitio y uso del servidor para actividades maliciosas. Dada la facilidad de explotación (no se requiere autenticación) y la capacidad de ejecutar código, la vulnerabilidad representa un riesgo inmediato para cualquier instalación que aún use una versión vulnerable del complemento.

El hallazgo fue reportado por el investigador Sélim Lanouar (conocido como whattheslime) a través del programa de recompensas de Wordfence el 8 de enero. Wordfence validó el informe, comunicó los detalles al proveedor y desplegó reglas temporales en su firewall para mitigar la amenaza a sus clientes mientras se trabajaba en la corrección. Tras una revisión inicial y una corrección parcial en febrero, el proveedor publicó la corrección definitiva en la versión 3.3.27 el 19 de marzo; el resumen y el cronograma de la divulgación están disponibles en el análisis técnico de Wordfence (entrada del blog de Wordfence).

Si administras un sitio que usa Ninja Forms con la extensión de carga de archivos, la recomendación inmediata y más eficaz es actualizar lo antes posible a la versión 3.3.27 o posterior. Actualizar es la forma más segura de eliminar la ventana de oportunidad que están explotando los atacantes. Si por alguna razón no puedes aplicar la actualización de inmediato, existen medidas temporales que reducen el riesgo: habilitar reglas de firewall de aplicaciones web (WAF) como las de Wordfence, desactivar la extensión File Uploads hasta que se pueda parchear, y aplicar restricciones en el servidor que impidan la ejecución de ficheros PHP en los directorios de subida.

Además de parchear, conviene revisar señales de compromiso: inspeccionar los logs de acceso y de subida en busca de peticiones inusuales al endpoint de carga, buscar ficheros PHP nuevos o con nombres sospechosos dentro del directorio de medios o en la raíz pública, y escanear el sitio con herramientas de detección de malware. Si se confirma una intrusión, lo prudente es tomar el sitio offline temporalmente, eliminar las puertas traseras detectadas, restaurar desde copias limpias y rotar credenciales asociadas (administradores de WordPress, FTP/SFTP, panel de hosting). También es recomendable revisar permisos del sistema de ficheros y deshabilitar la ejecución de PHP en las carpetas de uploads mediante configuración del servidor web (.htaccess, Nginx, etc.).

Para mantenerse informado y profundizar en los detalles técnicos y mitigaciones, los informes públicos más completos provienen de Wordfence y de la página oficial del plugin. El aviso técnico de Wordfence y las reglas de firewall están disponibles en su portal (análisis de la vulnerabilidad y entrada del blog), mientras que los recursos oficiales de Ninja Forms y la página del plugin en el repositorio de WordPress ofrecen información sobre versiones y descargas (extensión File Uploads, página del plugin en WordPress.org).

En el ecosistema WordPress, estas urgencias son un recordatorio de que los componentes de terceros (plugins y extensiones) pueden convertirse en vectores críticos de ataque. Mantener actualizados los plugins, aplicar políticas de seguridad en el servidor y monitorizar el tráfico y los logs son prácticas imprescindibles para reducir el riesgo. Si gestionas sitios para terceros o en producción, prioriza las actualizaciones y considera la implementación de una solución WAF que bloquee intentos masivos de explotación mientras completas las tareas de remediación.