CVE-2026-8627: XSS en plugin Correct Prices

CVE-2026-8627 es una vulnerabilidad de tipo XSS Reflejado en el plugin Correct Prices para WordPress, que afecta todas las versiones hasta la 1.0 inclusive. El problema: la función correct_prices_page() imprime $_SERVER['PHP_SELF'] directamente en el atributo action de un formulario, sin escapar ni sanitizar la entrada. Cualquier atacante no autenticado puede inyectar scripts arbitrarios con solo hacer que un usuario haga clic en un enlace malicioso.

Wordfence es un plugin de seguridad para WordPress, desarrollado por Wordfence, Inc., que actúa como firewall de aplicaciones web y scanner de malware. Monitorea amenazas en tiempo real e identifica vulnerabilidades de seguridad.

Qué es CVE-2026-8627: la vulnerabilidad XSS Reflejado del plugin Correct Prices

CVE-2026-8627 es un identificador oficial de vulnerabilidad asignado a un fallo de Cross-Site Scripting Reflejado en el plugin «Correct Prices» para WordPress. Según la ficha publicada por INCIBE-CERT, la vulnerabilidad está clasificada bajo CWE-79 (Neutralización incorrecta de la entrada durante la generación de páginas web), con vector CVSS v3.1: AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N, lo que da una puntuación base de 6.1.

Para quien no está familiarizado con esa sopa de letras: significa que el ataque se lanza desde la red sin necesidad de autenticación (PR:N), con baja complejidad (AC:L), y el impacto se extiende más allá del sitio afectado (Scope: Changed). El único requisito del lado del atacante es que el usuario haga clic en un enlace preparado (UI:R). Eso baja la gravedad teórica, pero en la práctica cualquier ataque de phishing o ingeniería social resuelve ese obstáculo fácilmente.

Cómo funciona el ataque: explicación técnica de $_SERVER[‘PHP_SELF’]

$_SERVER['PHP_SELF'] es una variable global de PHP que contiene la ruta del script en ejecución, tomada directamente de la URL solicitada. El problema es que esa ruta incluye todo lo que el usuario (o atacante) agregue después del nombre del archivo en la URL. Si una aplicación imprime esa variable sin escapar, lo que el atacante pone en la URL termina en el HTML de la página.

Ponele que el plugin Correct Prices tiene una página de configuración en /wp-admin/admin.php?page=correct-prices. La función vulnerable hace algo así:

// Código vulnerable (lo que hace la versión 1.0)
echo '<form action="' . $_SERVER['PHP_SELF'] . '">';

Un atacante puede construir una URL como:

/wp-admin/admin.php/"><!--

¿Y qué pasa cuando esa URL se renderiza? Exacto: el script se inyecta directamente dentro del atributo action del formulario, rompe el HTML y se ejecuta en el navegador de la víctima. El código correcto hubiera sido usar esc_url() o esc_attr(), como señala la documentación de Plugin Vulnerabilities sobre este patrón exacto, que lleva siendo un problema conocido desde hace años (sí, esto no es nuevo, y que en 2026 siga apareciendo en plugins es bastante elocuente).

El código seguro sería:

// Código seguro
echo '<form action="' . esc_url( $_SERVER['PHP_SELF'] ) . '">';

Una línea. Una función. Eso es lo que falta en la versión 1.0 del plugin.

Quién está afectado: alcance de la vulnerabilidad CVE-2026-8627 WordPress plugin vulnerable

La vulnerabilidad afecta el plugin «Correct Prices» en todas las versiones hasta la 1.0 inclusive. Si instalaste este plugin en algún momento y no lo actualizaste, estás expuesto. Ya lo cubrimos antes en comparar los mejores WAF para WordPress.

Lo que hace este vector particularmente incómodo es que no requiere que el atacante tenga ningún tipo de cuenta en tu sitio. No necesita ser suscriptor, editor ni administrador. Puede ser cualquier persona con acceso a internet que conozca la URL de tu instalación de WordPress (que generalmente es pública). El único requisito es que alguien con sesión activa en tu sitio, como un administrador logueado, haga clic en un enlace malicioso que el atacante le envíe por correo, por mensajería, o a través de cualquier otro canal.

Eso sí: el impacto en disponibilidad es nulo (A:N en el vector CVSS). El sitio no se cae, no se rompe. El daño es sobre confidencialidad e integridad, lo que en términos concretos puede significar robo de cookies de sesión, formularios falsos que capturan credenciales, o redirecciones a sitios maliciosos.

Vector de ataque: cómo se explota en la práctica

El flujo de explotación es directo. El atacante construye una URL apuntando a la página del plugin Correct Prices en tu WordPress, con un payload XSS inyectado en la ruta. Esa URL se ve rara si la mirás de cerca, pero en un correo con HTML o en un mensaje acortado pasa desapercibida. Después el atacante se la manda al admin del sitio (o la pone en un comentario, en una respuesta de foro, donde sea que el admin pueda hacer clic).

Si el admin tiene sesión activa en WordPress y hace clic, el script se ejecuta en su navegador con acceso completo a su sesión. Desde ahí, un atacante puede robar la cookie de sesión y usarla para autenticarse como administrador sin necesidad de contraseña, modificar contenido del sitio, crear nuevos usuarios con privilegios elevados o instalar código malicioso adicional.

Los ataques posibles con una sesión de admin robada incluyen la instalación de webshells, backdoors o malware de tipo SEO spam, que es el que más vemos circular en WordPress argentino desde 2024. Más contexto en herramientas de escaneo de malware más efectivas.

Cómo verificar si estás afectado

Tres formas de chequear:

Desde el dashboard de WordPress

Andá a Plugins → Plugins instalados y buscá «Correct Prices» en la lista. Si aparece, fijate la versión en la columna de descripción. Versión 1.0 o inferior: estás afectado. Si está desactivado pero instalado, igual podría haber sido explotado antes de desactivarlo, así que revisá los logs de acceso.

Desde el servidor (por FTP o SSH)

Revisá si existe el directorio wp-content/plugins/correct-prices/. Si está ahí, el plugin está instalado aunque no aparezca activo en el dashboard. La línea vulnerable en cuestión está en correct_prices.php en la línea 134, donde podés ver el echo de $_SERVER['PHP_SELF'] sin escapar.

Con un plugin de auditoría de seguridad

Plugins como Wordfence o el escáner de Patchstack detectan vulnerabilidades conocidas en plugins instalados. Si ya tenés uno de estos activo, revisá el panel de vulnerabilidades. Si tu base de datos de firmas está actualizada, CVE-2026-8627 debería aparecer listado como amenaza activa.

Opciones de protección y remediación

La situación con este plugin es que no existe claridad sobre si hay una versión parcheada disponible. A la fecha de publicación de este artículo (mayo 2026), la versión más reciente registrada en el repositorio oficial de WordPress es la 1.0, que es exactamente la versión vulnerable.

La recomendación directa: si no usás Correct Prices o no sabés para qué lo instalaste, desinstalalo. No hay razón para mantener un plugin con vulnerabilidad conocida y sin parche disponible. Si lo necesitás por algún flujo específico de precios en WooCommerce, buscá una alternativa con mantenimiento activo y auditoría de seguridad regular.

Para el monitoreo continuo, plugins como WPVulnerability te alertan cuando aparecen CVEs que afectan tu instalación. Es gratis y te ahorra el trabajo de revisar bases de datos de vulnerabilidades manualmente. Te puede servir nuestra cobertura de vulnerabilidades críticas reportadas recientemente.

Mejores prácticas para evitar vulnerabilidades similares en otros plugins

CVE-2026-8627 no es un caso aislado. La familia de vulnerabilidades por PHP_SELF sin escapar tiene décadas y sigue apareciendo en plugins de WordPress con mantenimiento escaso. Algunas cosas que reducen el riesgo de manera concreta:

• Actualizá plugins de forma consistente: la mayoría de las vulnerabilidades explotadas en la práctica tienen parches disponibles que los administradores nunca instalaron. Activá las actualizaciones automáticas para plugins con buen historial de mantenimiento.
• Auditá los plugins que no recordás haber instalado: si hay un plugin activo en tu sitio y no recordás para qué lo pusiste, es momento de investigarlo o desinstalarlo. Los plugins abandonados son vectores frecuentes.
• Suscribite a alertas de Wordfence o Patchstack: ambos servicios publican CVEs de WordPress con detalle técnico y, en muchos casos, antes de que el parche esté disponible. Eso te da ventana para tomar medidas preventivas.
• Revisá el número de instalaciones activas y la fecha de última actualización: un plugin con 200 instalaciones activas y su última actualización hace tres años tiene alto riesgo de tener código no auditado. El repositorio oficial de WordPress muestra estos datos.
• Para sitios críticos, usá un WAF dedicado: si manejás e-commerce o datos de clientes en WordPress y tenés un hosting con soporte para ello, un firewall de aplicación web filtra tráfico malicioso antes de que llegue a PHP. Muchos proveedores de hosting argentino como donweb.com incluyen opciones de seguridad perimetral en sus planes.

Errores comunes al manejar este tipo de vulnerabilidades

Error 1: Desactivar el plugin en vez de desinstalarlo. Un plugin desactivado no ejecuta código PHP en las peticiones normales, pero el directorio sigue ahí. En algunos casos con configuraciones de servidor particulares, archivos dentro de ese directorio pueden seguir siendo accesibles. Siempre desinstalá si no lo usás.

Error 2: Asumir que el WAF lo cubre todo. Los firewalls de aplicación web son una capa de defensa, no un reemplazo del código seguro. Algunos payloads XSS bien codificados (Base64, caracteres Unicode, codificación de entidades HTML) pueden evadir reglas genéricas de WAF. El parche en el código es la única solución definitiva.

Error 3: Ignorar la vulnerabilidad porque el plugin tiene pocas instalaciones. La cantidad de instalaciones no determina si tu sitio es atacado. Los scanners automatizados no discriminan por popularidad del plugin: buscan la firma de la vulnerabilidad en todos los sitios que puedan alcanzar. Un plugin de nicho con CVE conocido es tan peligroso como uno masivo.

Preguntas Frecuentes

¿Qué es la vulnerabilidad CVE-2026-8627?

CVE-2026-8627 es un fallo de Cross-Site Scripting Reflejado en el plugin Correct Prices para WordPress, versiones hasta 1.0. La función correct_prices_page() imprime $_SERVER['PHP_SELF'] sin escapar en el atributo action de un formulario HTML, lo que permite que un atacante inyecte scripts arbitrarios en páginas que se ejecutan en el navegador de la víctima. La puntuación CVSS v3.1 es 6.1 (severidad media). Lo explicamos a fondo en proteger tu sitio contra ataques DDoS.

¿Está mi sitio WordPress afectado por el plugin Correct Prices?

Solo si tenés instalado el plugin «Correct Prices» en versión 1.0 o anterior. Podés verificarlo en el panel de WordPress bajo Plugins → Plugins instalados, o chequeando si existe el directorio wp-content/plugins/correct-prices/ en tu servidor. Si no tenés ese plugin, no estás afectado por este CVE específico.

¿Cómo me protejo de la vulnerabilidad XSS del plugin Correct Prices?

La acción más directa es desinstalar el plugin si no lo usás activamente. Si necesitás mantenerlo, verificá si hay una versión superior a 1.0 disponible en el repositorio oficial de WordPress. Como medida adicional, un WAF con reglas actualizadas (Wordfence, por ejemplo) puede bloquear intentos de explotación mientras encontrás una solución permanente.

¿Qué significa PHP_SELF en esta vulnerabilidad?

$_SERVER['PHP_SELF'] es una variable PHP que contiene la ruta del script actual, incluyendo cualquier información de ruta adicional que el usuario agregue en la URL. Cuando se imprime sin escapar en el HTML (por ejemplo, dentro del atributo action de un formulario), un atacante puede agregar código malicioso a la URL que termina ejecutándose como JavaScript en el navegador de quien la visita.

¿Debo desinstalar el plugin Correct Prices de mi WordPress?

Si no lo usás activamente, sí. No existe versión parcheada confirmada para CVE-2026-8627 y el mantenimiento del plugin está en duda. Si lo usás para alguna funcionalidad específica de precios, buscá una alternativa con historial de actualizaciones de seguridad reciente. La relación riesgo/beneficio de mantener un plugin con CVE activo y sin parche disponible no cierra a favor de quedárselo.

Conclusión

CVE-2026-8627 es un recordatorio de algo que la comunidad de seguridad WordPress repite desde hace años: los plugins poco mantenidos son el vector de ataque más frecuente en instalaciones comprometidas. Un error de una línea, la ausencia de esc_url() en el lugar correcto, es suficiente para abrir una ventana de ataque que no requiere ningún tipo de privilegio previo.

Si tenés el plugin Correct Prices instalado, actuá ahora: desinstalalo o buscá el parche. Si no lo tenés, usá este caso como excusa para revisar qué otros plugins instalados tienen mantenimiento escaso o nulo. Una auditoría semestral de plugins activos, cruzada con bases de datos como Wordfence Threat Intel o Patchstack Database, puede marcar la diferencia entre un sitio seguro y uno comprometido.

La «innovación» de los ataques XSS no está en la técnica, que tiene décadas. Está en que siempre hay algún plugin nuevo que repite el mismo error de siempre.

Fuentes

• INCIBE-CERT — Ficha oficial CVE-2026-8627
• Wordfence Threat Intel — Base de datos de vulnerabilidades en plugins WordPress
• WordPress Trac — Código fuente de correct_prices.php línea 134
• Plugin Vulnerabilities — Por qué PHP_SELF sin escapar es peligroso en plugins WordPress
• Patchstack Database — Base de datos de vulnerabilidades WordPress