Basel Post Types: fallo crítico en WordPress hasta 1.18

Qué es y a quién afectaEl plugin Basel Post Types para WordPress arrastra una vulnerabilidad de omisión de autenticación (Authentication Bypass) en to...

Qué es y a quién afecta

El plugin Basel Post Types para WordPress arrastra una vulnerabilidad de omisión de autenticación (Authentication Bypass) en todas las versiones hasta la 1.18, incluida. El fallo está catalogado como CVE-2026-89324, con un tipo de debilidad CWE-287 y una gravedad CVSS 3.1 de 9.8 (CRITICAL), según el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. La NVD del NIST publicó el registro el 10 de noviembre de 2026.

El origen es un error de comillas en la llamada a defined() para SECURE_AUTH_SALT dentro de BASEL_Auth::get_config(). Ese detalle hace que PHP evalúe el valor de la constante en lugar de su nombre, la comprobación falla siempre y el sistema acaba recurriendo a una sal estática escrita en el código del tema, visible para cualquiera que lo consulte. Con esa sal fija, un atacante puede calcular sin conexión una firma Opauth válida y enviar una petición de callback falsificada al endpoint del hook init, que no exige autenticación y pasa por register_or_login.

El resultado es que un atacante no autenticado puede hacerse pasar por cualquier usuario existente de WordPress, incluidos los administradores, asociando el callback al correo de la cuenta objetivo. Se saltan así la contraseña, el doble factor y las comprobaciones de propiedad, y se entrega una cookie de sesión plenamente autenticada mediante wc_set_customer_auth_cookie().

Hay dos condiciones para explotarlo: que WooCommerce esté activo y que haya al menos un proveedor de inicio de sesión social de Basel (Facebook, Google o VKontakte) configurado con un app_id y un app_secret válidos en los ajustes del tema. Es un escenario habitual en comercios online españoles que montan su tienda sobre WordPress con WooCommerce y un tema de Themeforest como Basel.

Por qué es urgente

Conviene ser precisos: este CVE no consta en el catálogo KEV de CISA, por lo que no hay constancia pública de que se esté explotando en ataques reales ni un plazo oficial de mitigación asociado a ese catálogo. Eso no lo convierte en un problema menor. La puntuación es crítica, el ataque se lanza por red sin privilegios previos ni interacción de la víctima, y el impacto sobre confidencialidad, integridad y disponibilidad es alto. Además, la sal estática está publicada en el código del tema: no hace falta adivinar nada, basta con leerla.

Para una pyme con tienda online, el riesgo real es que un tercero entre como administrador, toque pedidos, datos de clientes y configuración de pago, o instale lo que quiera. Y todo ello con apariencia de sesión legítima.

Qué hacer hoy

Comprueba si usas el producto y en qué versión. Revisa si el tema Basel y el plugin Basel Post Types están instalados y si la versión es la 1.18 o anterior. Verifica también que WooCommerce esté activo y que haya un proveedor social configurado: sin esas dos piezas la explotación no es posible, pero la exposición sigue ahí.
Aplica la actualización o mitigación del aviso del fabricante. El material no indica qué versión corrige el fallo, así que hay que consultar el aviso oficial del desarrollador del tema y aplicar lo que indique. Mientras no haya corrección disponible, valora desactivar el plugin o retirar la configuración de inicio de sesión social.
Revisa indicios de intrusión. Busca callbacks Opauth inesperados en los registros, sesiones de administrador que no reconoces, usuarios nuevos o cambios de permisos, y actividad extraña en WooCommerce. Si algo no cuadra, cambia contraseñas y sales de autenticación de todas las cuentas afectadas.
Reduce lo expuesto a internet. Limita el acceso al panel de administración por IP o mediante VPN, restringe los endpoints innecesarios y mantén al día el resto de plugins y el núcleo de WordPress.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y equipos de IT pequeños que tienen webs en WordPress, PrestaShop o Joomla y no pueden dedicar a esto un departamento entero. Empezamos por saber qué hay expuesto: una auditoría de seguridad y un pentesting permiten detectar vulnerabilidades como esta antes de que alguien las aproveche. Después llega el hardening de servidores, la revisión de configuraciones y el mantenimiento y actualización de los CMS y sus plugins, con especial atención a los parches de seguridad.

A eso sumamos monitorización y respuesta a incidentes, para que una sesión sospechosa no pase desapercibida, y la reparación de webs hackeadas cuando el daño ya está hecho. Si gestionas una tienda en Lleida, Barcelona, Tarragona o Girona y no tienes claro si tu Basel Post Types está en una versión vulnerable, merece la pena revisarlo con calma antes de que lo haga otro.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.

Resultados sin salir de la página.