🚨 Alerta de seguridad crítica: Se ha publicado la vulnerabilidad CVE-2026-16298 que afecta al plugin FoodBoxBooker para WordPress en versiones anteriores a la 1.0.7. La falla permite a atacantes no autenticados restablecer la contraseña de cualquier usuario, incluidos administradores, lo que podría derivar en la toma total del sitio. Se recomienda actualizar de inmediato.
Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-16298 |
| Fabricante | Tecnología empresarial |
| Producto | Infraestructura y sistemas (plugin FoodBoxBooker) |
| Fecha de publicación | 2026-08-10 |
| Severidad | CRÍTICA |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 180 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-16298 reside en el plugin FoodBoxBooker para WordPress, en versiones anteriores a la 1.0.7. El plugin no valida correctamente las solicitudes de restablecimiento de contraseña, lo que permite a atacantes no autenticados enviar peticiones maliciosas y cambiar la contraseña de cualquier usuario registrado en el sitio, incluidos aquellos con rol de administrador.
Esta falla se clasifica como CWE-269: Gestión de privilegios inadecuada, ya que el mecanismo de recuperación de contraseña no implementa controles suficientes para verificar la identidad del solicitante. Al explotar esta debilidad, un atacante puede obtener acceso administrativo completo al sitio WordPress, lo que se conoce como full site takeover.
La puntuación CVSS de 9.8 refleja la gravedad máxima: el ataque es explotable de forma remota sin necesidad de autenticación, no requiere interacción del usuario y compromete por completo la confidencialidad, integridad y disponibilidad del sistema.
Productos y versiones vulnerables
Según la información publicada por las fuentes oficiales, el producto afectado es:
| Producto | Versión afectada | Versión segura |
|---|---|---|
| FoodBoxBooker (plugin WordPress) | Todas las versiones anteriores a 1.0.7 | 1.0.7 o superior |
No se han publicado otros productos o versiones afectados en las fuentes consultadas.
Impacto y riesgo
El impacto de explotar CVE-2026-16298 es extremadamente alto. Un atacante no autenticado puede:
- Restablecer la contraseña de cualquier usuario, incluidos administradores.
- Tomar el control total del sitio WordPress (full site takeover).
- Modificar contenido, instalar plugins maliciosos, robar datos de usuarios o redirigir el tráfico.
- Utilizar el sitio comprometido como plataforma para ataques adicionales.
Dado que el vector de ataque es remoto, no requiere autenticación ni interacción del usuario, y la complejidad del ataque es baja, el riesgo para cualquier sitio que utilice una versión vulnerable del plugin es crítico.
Estado de explotación conocida
Las fuentes oficiales consultadas (NVD y CVE.org) no indican explotación activa de esta vulnerabilidad. La selección de esta CVE por parte de RyzerBot se basa en su publicación reciente y su puntuación CVSS de 9.8, no en evidencia de explotación en curso. No obstante, la gravedad del fallo y la facilidad de explotación hacen recomendable aplicar la actualización sin demora.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. No deben inventarse. En caso de sospecha de explotación, se recomienda revisar los registros de actividad del sitio WordPress en busca de solicitudes de restablecimiento de contraseña inusuales o inicios de sesión desde direcciones IP desconocidas.
Cómo comprobar si estás afectado
Para determinar si tu sitio WordPress es vulnerable a CVE-2026-16298:
- Accede al panel de administración de WordPress.
- Ve a Plugins y busca FoodBoxBooker.
- Comprueba la versión instalada. Si es anterior a 1.0.7, el sitio está afectado.
- También puedes consultar directamente la tabla
wp_optionsen la base de datos o usar un escáner de seguridad de WordPress.
No se dispone de comandos específicos publicados por las fuentes para esta comprobación.
Mitigación y actualización
La acción principal es actualizar el plugin FoodBoxBooker a la versión 1.0.7 o superior, que corrige la vulnerabilidad. Sigue estos pasos:
- Realiza una copia de seguridad completa del sitio (archivos y base de datos).
- Desde el panel de WordPress, ve a Plugins → Plugins instalados.
- Busca FoodBoxBooker y haz clic en Actualizar si hay una versión disponible.
- Si no aparece la actualización, descarga la última versión desde el repositorio oficial de WordPress o desde el sitio del desarrollador e instálala manualmente.
- Verifica que la versión ahora sea 1.0.7 o superior.
No se han publicado mitigaciones alternativas por parte del fabricante en las fuentes consultadas.
Checklist para administradores
- ☐ Identificar todos los sitios WordPress que utilizan el plugin FoodBoxBooker.
- ☐ Verificar la versión instalada del plugin en cada sitio.
- ☐ Actualizar FoodBoxBooker a la versión 1.0.7 o superior.
- ☐ Revisar los registros de actividad en busca de restablecimientos de contraseña sospechosos.
- ☐ Cambiar las contraseñas de todos los usuarios administradores como medida preventiva.
- ☐ Revisar la lista de usuarios y roles para detectar cuentas no autorizadas.
- ☐ Mantener copias de seguridad actualizadas del sitio.
- ☐ Suscribirse a alertas de seguridad de WordPress y del fabricante del plugin.
Preguntas frecuentes
¿Qué es CVE-2026-16298?
Es una vulnerabilidad crítica en el plugin FoodBoxBooker para WordPress que permite a atacantes no autenticados restablecer contraseñas de cualquier usuario, incluidos administradores.
¿Qué versiones de FoodBoxBooker están afectadas?
Todas las versiones anteriores a la 1.0.7 están afectadas.
¿Cómo puedo saber si mi sitio ha sido comprometido?
Revisa los registros de actividad del sitio en busca de restablecimientos de contraseña inusuales o inicios de sesión desde IP desconocidas. No hay IOC publicados por las fuentes oficiales.
¿Existe algún parche o actualización disponible?
Sí, la versión 1.0.7 del plugin corrige la vulnerabilidad. Se recomienda actualizar inmediatamente.
¿Esta vulnerabilidad está siendo explotada activamente?
Las fuentes oficiales no confirman explotación activa en el momento de publicación de esta alerta.
¿Qué debo hacer si no puedo actualizar el plugin?
Si no es posible actualizar, considera desactivar o eliminar el plugin hasta que puedas aplicar la actualización. No se han publicado mitigaciones alternativas.