Plataforma
php
Componente
formwork
Corregido en
2.0.1
La vulnerabilidad CVE-2026-27198 afecta al sistema de gestión de contenidos (CMS) Formwork, específicamente en versiones desde 2.0.0 hasta 2.3.3. Esta falla de control de acceso permite a un usuario autenticado con el rol de 'editor' crear nuevas cuentas con privilegios administrativos, lo que resulta en un acceso completo al CMS. La vulnerabilidad ha sido corregida en la versión 2.3.4, y se recomienda actualizar a esta versión lo antes posible.
El impacto de esta vulnerabilidad es crítico, ya que permite a un atacante obtener control administrativo completo sobre la instancia de Formwork CMS. Un usuario autenticado con privilegios de editor podría crear una cuenta de administrador, eludiendo las protecciones de seguridad diseñadas para restringir el acceso a funciones sensibles. Esto podría resultar en la modificación o eliminación de contenido, la instalación de código malicioso, el acceso a datos confidenciales de los usuarios, y la completa toma de control del servidor. La falta de una validación adecuada de los privilegios durante la creación de cuentas abre una puerta de entrada para la comprometer la integridad y confidencialidad del sistema.
La vulnerabilidad CVE-2026-27198 fue publicada el 21 de febrero de 2026. No se ha reportado explotación activa en campañas conocidas, pero la facilidad de explotación podría hacerla un objetivo para atacantes. Se recomienda monitorear los sistemas Formwork CMS para detectar cualquier actividad sospechosa. La vulnerabilidad no se encuentra en el Catálogo de Vulnerabilidades Conocidas (KEV) de CISA al momento de esta redacción.
Organizations using Formwork CMS, particularly those with multiple users and a reliance on the 'editor' role for content management, are at risk. Shared hosting environments where multiple CMS instances share the same server are also at increased risk, as a compromise of one instance could potentially lead to the compromise of others.
• php: Examine Formwork CMS configuration files for unusual user roles or permissions. • generic web: Monitor access logs for POST requests to account creation endpoints with suspicious parameters. • generic web: Check CMS logs for successful account creations with administrative roles by users with the 'editor' role.
# Example: Grepping access logs for account creation attempts
grep 'POST /admin/users/create' access.logdisclosure
Estado del Exploit
EPSS
0.02% (4% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2026-27198 es actualizar Formwork CMS a la versión 2.3.4 o superior, donde la vulnerabilidad ha sido resuelta. Si la actualización inmediata no es posible, se recomienda revisar cuidadosamente los permisos de usuario existentes y restringir el acceso al rol de 'editor' a aquellos usuarios que realmente lo necesiten. Implementar una auditoría de seguridad regular puede ayudar a identificar y corregir posibles configuraciones incorrectas. Aunque no existe una solución alternativa directa, una configuración restrictiva de los roles de usuario puede reducir el riesgo hasta que se pueda aplicar la actualización.
Actualice Formwork a la versión 2.3.4 o superior. Esta versión corrige la vulnerabilidad que permite a usuarios con privilegios de editor crear cuentas con privilegios de administrador. La actualización impedirá la escalada de privilegios y protegerá el CMS de un compromiso total.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-27198 is a vulnerability in Formwork CMS where an editor can create admin accounts, gaining full control. It affects versions 2.0.0 through 2.3.3 and is rated HIGH severity.
You are affected if you are running Formwork CMS versions 2.0.0 through 2.3.3. Check your version and upgrade immediately if vulnerable.
Upgrade Formwork CMS to version 2.3.4 or later to resolve this vulnerability. If immediate upgrade is not possible, implement stricter role-based access controls.
As of now, there are no confirmed reports of active exploitation, but the vulnerability's ease of exploitation makes it a potential target.
Refer to the Formwork CMS official website and security advisories for the latest information and updates regarding CVE-2026-27198.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.