Usted vio un titular, un aviso de su hosting o una alerta de un plugin de seguridad que dice que el formulario de su página de contacto tiene un agujero. Ahora quiere saber tres cosas: si su sitio está expuesto, qué debe hacer clic y si el formulario seguirá enviando mensajes después.
Una vulnerabilidad en Ninja Forms suena a emergencia, y en algunas versiones sí merece una respuesta rápida. La buena noticia es que el primer paso toma unos diez minutos y se puede hacer desde su panel de WordPress. Abra Plugins, busque Ninja Forms y lea el número de versión junto a él.
Si es 3.15.3 o anterior, actualice hoy. Primero saque una copia de seguridad, actualice y luego envíese un mensaje de prueba a través del formulario en vivo. El resto de esta página le explica qué fallo es cuál, qué tan grave es cada uno y cuándo conviene dejar el trabajo en manos de alguien más.
Puntos clave
Ese fallo afecta a Ninja Forms hasta la versión 3.15.3. Un segundo fallo, CVE-2026-90438, afecta hasta la versión 3.15.4 y se corrige en la 3.15.5, así que apunte a la versión más reciente.
CVE-2026-0740 afecta al complemento Ninja Forms File Uploads hasta la versión 3.3.26, no a todas las instalaciones de Ninja Forms. Actualizar el plugin principal no actualiza el complemento.
WordPress.org dice que conserve una copia de seguridad actualizada antes de actualizar los plugins. Envíe un mensaje de prueba real y confirme que llega el correo de notificación.
La solución toma diez minutos y empieza en Plugins
Empiece por lo que puede ver. En el panel de administración de WordPress, abra Plugins y busque Ninja Forms. El número de versión aparece debajo del nombre del plugin. Mientras está en esa pantalla, revise si Ninja Forms File Uploads o cualquier otro complemento de Ninja Forms está instalado y activo, porque cada complemento tiene su propia versión y sus propias actualizaciones. WordPress.org explica cómo funciona la pantalla de Plugins si nunca la ha usado.
Luego saque una copia de seguridad. WordPress.org pide a los dueños de sitios que se aseguren de tener una copia de seguridad actualizada antes de actualizar los plugins, y la razón es práctica: si la actualización choca con su tema, su versión de PHP o con otro plugin, necesita una forma de volver atrás. Su hosting puede ofrecer una copia de seguridad con un solo clic. Un plugin de copias de seguridad también sirve. Lo importante es que la copia haya terminado y que sepa dónde está.
Ahora actualice. Puede usar Escritorio y luego Actualizaciones, o la pantalla de Plugins. WordPress también le permite activar actualizaciones automáticas para plugins individuales, algo que vale la pena considerar en un plugin de formularios que ha necesitado correcciones de seguridad repetidas.
Por último, pruebe. Abra su página de contacto en una ventana de navegación privada, complete el formulario con un mensaje de prueba y envíelo. Revise que aparezca el mensaje de confirmación, que el correo de notificación llegue a su bandeja de entrada y que el envío aparezca en su lista de envíos. Si su formulario acepta cargas de archivos, envíe una con un adjunto.
Actualización: Ninja Forms 3.15.6 se publicó el 15 de octubre de 2026 y añade más mejoras de seguridad. WordPress.org la muestra como la versión actual en la página del plugin Ninja Forms, así que, si su panel le ofrece la actualización, instálela.
Se habla de tres fallos distintos, y cada uno tiene su propia solución
La cobertura de prensa tiende a mezclar estos casos. Son registros separados, con versiones distintas, y la tabla de abajo los mantiene separados.
| Problema | Qué afecta | Versiones afectadas | Qué hacer |
|---|---|---|---|
| CVE-2026-94504 (cross-site scripting almacenado, CVSS 7.1) | Plugin principal de Ninja Forms | Hasta la versión 3.15.3 | Actualice a la versión 3.15.4 o posterior |
| CVE-2026-90438 | Plugin principal, cuando un campo de texto de párrafo (Paragraph Text) tiene activado el editor de texto enriquecido (Rich Text Editor) | Hasta la versión 3.15.4 | Actualice a la versión 3.15.5 o posterior |
| CVE-2026-0740 (carga arbitraria de archivos) | Solo el complemento Ninja Forms File Uploads | Hasta la versión 3.3.26 | Actualice el complemento a su versión actual |
El registro CVE de CVE-2026-94504 indica que se publicó el 22 de septiembre de 2026, y Wordfence le asignó una puntuación CVSS de 7.1. El plugin guardaba el texto que un visitante escribía en un área de texto que no era de texto enriquecido, y luego lo mostraba sin codificación HTML segura en el editor administrativo anterior de envíos. La versión 3.15.4 añadió un escapado de salida más estricto en esa pantalla. La entrada NVD de CVE-2026-90438 cubre el caso más acotado del Rich Text Editor, y la versión 3.15.5 lo corrige.
El tercer punto es un producto distinto. Wordfence documentó la explotación activa de una vulnerabilidad crítica de carga de archivos en Ninja Forms File Uploads en abril de 2026, y permite que un visitante no autenticado cargue archivos arbitrarios. Si nunca instaló ese complemento, no aplica a su sitio. Si lo instaló, actualícelo por separado y trátelo como el más urgente de los tres.
Qué tan grave es CVE-2026-94504 depende de un solo clic de un administrador
El cross-site scripting almacenado funciona en dos pasos. Primero, alguien coloca un script malicioso en un campo del formulario. Después, el script se ejecuta en el navegador de la persona que luego abre ese envío guardado. Aquí, el primer paso no requiere iniciar sesión: un atacante puede enviar el contenido por el formulario normal de Ninja Forms. Patchstack registró intentos de explotar este fallo el 5 de octubre de 2026. El segundo paso necesita que un administrador con sesión iniciada abra ese envío en el editor heredado. El registro NVD registra el mismo fallo.
Eso la convierte en una razón real para actualizar esta semana, y no es lo mismo que alguien tome control de su sitio desde afuera sin ayuda de nadie. De ahí se desprenden dos hábitos prácticos. Actualice pronto y, mientras no lo haga, evite abrir desde la pantalla de envíos de Ninja Forms los envíos que se vean raros, como entradas llenas de símbolos, código o enlaces extraños.
Sepa qué señales indican que es más que una actualización rutinaria
La mayoría de las veces el trabajo es rutinario: copia de seguridad, actualización, prueba. Algunas señales indican que debe revisar más a fondo antes de dar el trabajo por terminado.
- Cuentas de administrador que no reconoce: Abra Usuarios y revise cada cuenta con el rol de Administrador.
- Envíos que parecen código: Entradas hechas de símbolos, etiquetas de script o cadenas largas que ningún cliente escribiría.
- Redirecciones o ventanas emergentes en su sitio: Visitantes enviados a un lugar que usted no eligió.
- Configuraciones que usted no cambió: Plugins nuevos, contraseñas cambiadas o correos electrónicos modificados.
Si aparece cualquiera de estas, una actualización por sí sola no lo limpiará. Cambie sus contraseñas, elimine las cuentas que no reconoce y pida que revisen el sitio. Una auditoría de seguridad del sitio web revisa cuentas, plugins y archivos en conjunto, que es lo que necesita cuando sospecha que alguien entró. Si no ve ninguna de estas señales, no necesita una auditoría para una actualización rutinaria. Revise, actualice, pruebe y siga adelante.
Actualizar el plugin principal no actualiza todos los complementos
El descuido más común es actualizar el núcleo de Ninja Forms y dejar un complemento de pago o gratuito en una versión antigua. Cada complemento tiene su propio número de versión. Revise en su lista de Plugins cualquier cosa que tenga Ninja Forms en el nombre, y compare cada una con su fuente. Los complementos de pago pueden actualizarse a través de la licencia del proveedor y no de WordPress.org, así que una actualización pendiente quizá no aparezca en su pantalla de Actualizaciones. Inicie sesión donde compró el complemento y revise ahí.
Después de una actualización pueden salir mal algunas otras cosas, y todas tienen solución:
- Las notificaciones dejan de llegar: Revise de nuevo la acción de correo electrónico de su formulario y la configuración de su correo, y mire en la carpeta de spam.
- Un campo se ve distinto: Borre la caché de cualquier plugin de caché y la de su hosting, y luego recargue.
- El formulario muestra un error: Restaure la copia de seguridad y luego actualice los demás plugins y su tema uno por uno para encontrar el conflicto.
- No existe copia de seguridad y la actualización falló: Pida a su hosting un punto de restauración antes de cambiar cualquier otra cosa.
Recorra esa lista desde arriba y deténgase en la primera solución que funcione. Estos problemas suelen resolverse en pocos minutos una vez que sabe cuál tiene.
Ninja Forms ha necesitado correcciones de seguridad con la frecuencia suficiente para planearlo
Un solo fallo es manejable. Un patrón es un trabajo de mantenimiento. La página de Wordfence para el plugin enumera 76 vulnerabilidades conocidas, y la base de datos de Patchstack enumera 74 problemas corregidos con cerca de 500,000 instalaciones activas. Esos totales abarcan toda la historia del plugin y distintos tipos de problemas, así que no significan que cada sitio estuviera expuesto a todos. Sí muestran que un plugin de formularios necesita atención regular: revisar versiones, hacer copias de seguridad, actualizar y probar después de cada actualización.
Si tiene un desarrollador, un plan de mantenimiento o un hosting que se encarga de las actualizaciones, esa atención quizá ya esté cubierta. Si no la tiene, decida quién se hará cargo. El mantenimiento de sitios web existe para este tipo de trabajo recurrente, y un plan que incluya copias de seguridad y pruebas de actualización elimina las conjeturas. Antes de pagar cualquier plan, pregunte qué incluye, cómo se prueban las actualizaciones y qué tan rápido sale una actualización de seguridad.
Lecturas relacionadas
Si este fallo le hizo pensar en el resto de sus plugins, la guía sobre cómo revisar los plugins de WordPress en busca de actualizaciones de seguridad urgentes recorre una revisión completa. El artículo sobre qué hacer después de una alerta de vulnerabilidad de un plugin de WordPress explica cómo verificar un aviso antes de actuar sobre él. Si el spam es la razón por la que agregó una capa de protección a su formulario, vea cómo corregir el spam en formularios de contacto sin bloquear a los clientes reales. Otros dos fallos de plugins, Bricksforge y All in One SEO, se explican en el artículo sobre cómo revisar esos plugins.
Un formulario de contacto que funciona sin plugins
Una vez que su sitio esté actualizado, la siguiente pregunta es si quiere seguir corrigiendo un plugin de formularios. Un formulario de contacto suele necesitar solo unos pocos campos, una revisión antispam y un correo de notificación. Un sitio construido sin plugins de terceros no tiene un plugin de formularios que corregir, porque el formulario es parte del propio sitio.
Web Leveling construye sitios de esta manera, y el código y las cuentas son suyos. Lo que eso le da es menos componentes que vigilar. No elimina el trabajo de hosting, servidor ni seguridad general, y si su formulario depende de integraciones o de lógica compleja, un plugin quizá siga siendo la herramienta adecuada. Tome esa decisión según las funciones y el tiempo que tenga para mantenerlo, y no por un solo CVE.
Repaso rápido: revise su respuesta a Ninja Forms
Elija una respuesta para empezar.
1. Su sitio usa Ninja Forms 3.15.3. ¿Qué debe hacer primero?
2. ¿Qué problema de Ninja Forms afecta al complemento File Uploads?
3. Después de actualizar, ¿qué debe hacer?
Preguntas frecuentes sobre la vulnerabilidad de Ninja Forms
¿Qué versión de Ninja Forms corrige CVE-2026-94504?
La versión 3.15.4 o posterior. Las versiones hasta la 3.15.3 están afectadas.
¿Qué versión cubre el problema del Rich Text Editor?
CVE-2026-90438 afecta a las versiones hasta la 3.15.4 cuando un campo de texto de párrafo tiene activado el Rich Text Editor. La versión 3.15.5 lo corrige, y la 3.15.6 es la versión actual al 15 de octubre de 2026.
¿Cómo reviso mi versión de Ninja Forms?
Inicie sesión en WordPress, abra Plugins y lea el número de versión debajo de Ninja Forms. Revise también los complementos de Ninja Forms en la misma pantalla.
¿Puede un visitante atacar mi sitio sin iniciar sesión?
Un visitante puede enviar el contenido dañino por el formulario sin iniciar sesión. El script solo se ejecuta cuando un administrador con sesión iniciada abre ese envío en el editor administrativo anterior, así que importan tanto actualizar como evitar los envíos con aspecto extraño.
¿Actualizar Ninja Forms también actualiza el complemento File Uploads?
No. Trate cada complemento por separado y confirme que todos los que tiene instalados están actualizados.
¿Debo hacer una copia de seguridad antes de actualizar?
Sí. WordPress.org dice que hay que tener una copia de seguridad actualizada antes de actualizar los plugins. Si el formulario falla después, restaure la copia o pida a alguien que revise la actualización y la configuración de notificaciones del formulario.
Qué significa esto para usted
Revise hoy el número de versión. Si es inferior a 3.15.4, actualice después de sacar una copia de seguridad; la versión más reciente también cubre el segundo fallo. Si tiene el complemento File Uploads, actualícelo por separado y envíe un mensaje de prueba al terminar. Revise sus cuentas de administrador una vez, porque una actualización rutinaria no es lo mismo que limpiar después de una intrusión.
Su formulario de contacto es la forma en que los clientes nuevos le escriben, así que merece una revisión periódica y no un apuro cada vez que aparece un titular. Una rutina breve, con una copia de seguridad y una prueba después de cada actualización, mantiene el formulario funcionando y el riesgo bajo.
Si prefiere no llevar esa rutina usted mismo, Web Leveling puede encargarse a través del mantenimiento de sitios web, o puede contactarnos para revisar en términos sencillos su formulario y sus plugins. Trabajamos con pequeñas y medianas empresas en todo el país y en el extranjero.
Términos
Palabras usadas en este artículo
Toque un término para ver qué significa.
CVE. Un identificador público de un fallo de seguridad conocido, como CVE-2026-94504.
Cross-site scripting almacenado. Un fallo en el que un script dañino se guarda en un sitio y se ejecuta después en el navegador de quien lo abre.
Complemento. Un plugin extra que añade funciones a Ninja Forms, con su propia versión y sus propias actualizaciones.
Administrador. Un usuario de WordPress que puede cambiar la configuración, los plugins y otros usuarios.
Editor de texto enriquecido (Rich Text Editor). Una opción de campo que permite dar formato al texto, como negritas o enlaces.
Copia de seguridad. Una copia guardada de su sitio que puede restaurar si una actualización sale mal.
