Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
🆕 Nuevo en 2MCI
✨ Crear cuenta gratis 🛠️ Ver herramientas sin registro
Ya tengo cuenta
🔒 Iniciar sesión
Equipo
🏠 Portal interno 2MCI
Crítico CVE-2026-16142 Multiple Vendors

Vulnerabilidad crítica de takeover de cuentas en plugin TrueBooker para WordPress (CVE-2026-16142)

Vulnerabilidad · Publicado 15/08/2026

9.8
CVSS 3.x
04 Medio7 Alto9 Crítico10
Severidad: Crítico
Resumen ejecutivo

El plugin TrueBooker para WordPress (versiones hasta 1.2.6) permite el robo de cuentas de usuario debido a que el manejador AJAX add_front_user_update() acepta parámetros arbitrarios sin validar autenticación ni propiedad, permitiendo a atacantes modificar cuentas administrativas. Esta vulnerabilidad afecta a miles de sitios WordPress en LATAM que utilizan este plugin para gestión de reservas. El riesgo es crítico (CVSS 9.8) ya que facilita comprometer la integridad completa del sitio.

Análisis asistido por IA, contexto LATAM revisado por el equipo 2MCI.

Descripción técnica

Descripción técnica

The TrueBooker plugin for WordPress is vulnerable to Account Takeover in all versions up to, and including, 1.2.6. This is due to the add_front_user_update() AJAX handler being registered for unauthenticated users and accepting an arbitrary truebooker_wp_user_id value, which is passed directly to wp_update_user() without verifying authentication or ownership. This makes it possible for unauthenticated attackers to change any WordPress user account email address, including an administrator, by submitting the target user ID and an attacker-controlled email address. An attacker can then use the native WordPress password reset flow to receive the reset link at the attacker-controlled email address and take over the account.

Puntuación CVSS

Score: 9.8/10 — Severidad: CRITICAL — Estado NIST: Received

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Debilidades (CWE)

CWE-639

Fuente oficial

Publicado en NIST NVD.

¿Qué hacer?
  • Actualizar inmediatamente TrueBooker a versión posterior a 1.2.6
  • Si no hay parche disponible, desactivar el plugin hasta confirmación del fabricante
  • Auditar logs de acceso AJAX para detectar explotación previa
  • Forzar cambio de contraseña en cuentas administrativas
  • Implementar WAF con reglas para bloquear solicitudes AJAX no autenticadas a add_front_user_update()
Esta alerta fue generada automáticamente a partir del NVD del NIST.
← Volver a todas las alertas