🚨 Se ha publicado la vulnerabilidad CVE-2026-12949, que afecta al plugin Wishlist Member para WordPress en versiones hasta 3.34.1. Con una puntuación CVSS de 9.8 (CRÍTICA), permite a atacantes no autenticados tomar el control de cualquier cuenta existente, incluyendo administradores, sin necesidad de interacción del usuario. Se recomienda aplicar la actualización o mitigación publicada por el fabricante de forma inmediata.
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-12949 |
| Fabricante | Wishlist Member |
| Producto | Wishlist Member (plugin WordPress) |
| Fecha de publicación | 14 de agosto de 2026 |
| Severidad | CRÍTICA |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 210 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-12949 es una vulnerabilidad de tipo Account Takeover (toma de control de cuenta) en el plugin Wishlist Member para WordPress, hasta la versión 3.34.1 inclusive. La debilidad reside en una verificación insuficiente de la autenticidad de los datos durante el proceso de registro. La función wpm_register() valida la cookie de registro únicamente contra el parámetro GET reg, pero acepta los parámetros POST mergewith y wpm_id sin comprobar que el ID de usuario proporcionado en mergewith corresponda a un registro temporal o incompleto vinculado a la transacción actual.
Esto permite que un atacante no autenticado envíe una solicitud con el ID numérico de cualquier usuario existente (por ejemplo, un administrador) como valor de mergewith. Como resultado, wp_update_user() sobrescribe el nombre de usuario, contraseña, correo electrónico, nombre y apellidos de la cuenta objetivo con valores controlados por el atacante. Además, los correos de notificación de cambio de contraseña y correo electrónico de WordPress se suprimen explícitamente, por lo que la víctima no recibe alerta. Si el parámetro wpm_id referencia un nivel de membresía inexistente, no se añade ninguna clave de rol a la carga de actualización, lo que hace que wp_update_user() conserve el rol existente del usuario objetivo, incluido el de administrador. Esto convierte la toma de control en una escalada de privilegios completa.
Productos y versiones vulnerables
| Producto | Versión afectada |
|---|---|
| Wishlist Member (plugin WordPress) | Hasta 3.34.1 inclusive |
No se han publicado otras versiones o productos afectados en las fuentes consultadas.
Impacto y riesgo
El impacto de CVE-2026-12949 es crítico debido a que:
- Confidencialidad: Alta. Un atacante puede acceder a toda la información de la cuenta comprometida, incluyendo datos sensibles del sitio.
- Integridad: Alta. El atacante puede modificar datos del sitio, publicar contenido malicioso o alterar configuraciones.
- Disponibilidad: Alta. Puede bloquear a los usuarios legítimos o causar denegación de servicio.
- Escalada de privilegios: Completa, ya que se preserva el rol de administrador si el nivel de membresía no existe.
- Facilidad de explotación: No se requiere autenticación ni interacción del usuario, y el vector de ataque es remoto.
La puntuación de prioridad de 210 (sobre 300) indica una urgencia máxima de atención.
Estado de explotación conocida
No publicado por las fuentes consultadas. La selección de esta vulnerabilidad por parte de RyzerBot se basa en su publicación reciente y una puntuación CVSS de 9.0 o superior, no en evidencia de explotación activa.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-12949:
- Accede al panel de administración de WordPress.
- Ve a Plugins y localiza Wishlist Member.
- Comprueba el número de versión. Si es igual o inferior a 3.34.1, estás afectado.
- Revisa los registros del servidor en busca de peticiones sospechosas con los parámetros
mergewithywpm_id.
No se dispone de comandos específicos proporcionados por las fuentes oficiales.
Mitigación y actualización
La acción principal es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Dado que las fuentes no especifican una versión corregida, se recomienda:
- Actualizar Wishlist Member a la última versión disponible tan pronto como el fabricante publique un parche.
- Mientras tanto, si no es posible actualizar, considerar la desactivación temporal del plugin hasta que se libere una corrección.
- Implementar reglas de firewall de aplicación web (WAF) que bloqueen peticiones con los parámetros
mergewithywpm_iden el registro. - Monitorear los registros de auditoría de WordPress para detectar cambios no autorizados en cuentas de usuario.
Checklist para administradores
- ☐ Identificar todas las instalaciones de WordPress que usan Wishlist Member.
- ☐ Verificar la versión del plugin (≤ 3.34.1).
- ☐ Revisar los registros de acceso en busca de peticiones con
mergewithywpm_id. - ☐ Aplicar la actualización oficial del fabricante en cuanto esté disponible.
- ☐ Mientras tanto, desactivar el plugin o implementar reglas de bloqueo en el WAF.
- ☐ Notificar a los usuarios administradores sobre el riesgo y las medidas adoptadas.
- ☐ Realizar una auditoría de cuentas para detectar posibles compromisos previos.
- ☐ Mantener monitorización continua sobre la CVE y las comunicaciones del fabricante.
Preguntas frecuentes
¿Qué es CVE-2026-12949?
Es una vulnerabilidad crítica de Account Takeover en el plugin Wishlist Member para WordPress, que permite a atacantes no autenticados tomar el control de cualquier cuenta, incluyendo administradores.
¿Qué versiones están afectadas?
Todas las versiones de Wishlist Member hasta la 3.34.1 inclusive.
¿Se requiere autenticación para explotarla?
No. La vulnerabilidad puede ser explotada por atacantes no autenticados de forma remota.
¿Existe parche disponible?
Las fuentes consultadas no indican una versión corregida. Se debe revisar el aviso oficial del fabricante para obtener la actualización.
¿Cómo puedo protegerme mientras no hay parche?
Desactivar el plugin temporalmente o implementar reglas de firewall que bloqueen los parámetros mergewith y wpm_id en las solicitudes de registro.
¿Hay indicios de explotación activa?
No publicado por las fuentes consultadas. La alerta se basa en la criticidad y novedad de la CVE.