Resumen ejecutivo
| Campo | Detalle |
|---|---|
| CVE | CVE-2026-15980 |
| Fabricante | TangibleWP |
| Producto | MyHome Core |
| Fecha de publicación | 2026-08-30 |
| Severidad | CRITICAL |
| CVSS v3.1 | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad (RyzerBot) | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
El plugin MyHome Core (hasta la versión 4.4.5) presenta una omisión de autorización en el manejador AJAX send_link() y una validación inadecuada del token en la función activate(). Esto permite a un atacante sin credenciales generar un token de activación para una cuenta de usuario no confirmada y obtener una cookie de autenticación válida, pudiendo acceder como cualquier usuario, incluidos administradores.
La explotación requiere que el tema MyHome esté configurado en modo legacy/WPBakery, con registro en el frontend y envío de correo de confirmación activados, y que la cuenta objetivo no tenga aún el meta myhome_agent_confirmed establecido.
Productos y versiones vulnerables
| Fabricante | Producto | Versiones afectadas | Estado |
|---|---|---|---|
| TangibleWP | MyHome Core | ≤ 4.4.5 (todas las versiones desde la 0) | Afectado |
Impacto y riesgo
- Confidencialidad: Acceso a cuentas de administrador y datos sensibles del sitio.
- Integridad: Posibilidad de modificar contenido, instalar plugins maliciosos o alterar configuraciones.
- Disponibilidad: Riesgo de desfiguración o denegación de servicio tras compromiso total.
- Vector de ataque: Red, baja complejidad, sin privilegios ni interacción de usuario (AV:N/AC:L/PR:N/UI:N).
Estado de explotación conocida
No se ha publicado evidencia de explotación activa en las fuentes consultadas (NVD, CVE.org, Wordfence). La selección del bot se basa en la publicación reciente y la puntuación CVSS ≥ 9.0, no en explotación confirmada.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
- Verifica la versión instalada de MyHome Core en el panel de plugins de WordPress; si es ≤ 4.4.5, eres vulnerable.
- Confirma que el tema MyHome está en modo legacy/WPBakery (ajustes del tema).
- Revisa si el registro de usuarios en el frontend y el envío de correo de confirmación están habilitados.
- Comprueba si existen cuentas de usuario sin el meta
myhome_agent_confirmed(puede requerir consulta a la base de datos).
Mitigación y actualización
- Actualiza MyHome Core a la versión más reciente publicada por TangibleWP (superior a 4.4.5).
- Si no hay actualización disponible, desactiva el modo legacy/WPBakery del tema MyHome.
- Deshabilita el registro de usuarios en el frontend y/o la confirmación por correo mientras se aplica el parche.
- Revisa el aviso oficial del fabricante (enlace en Fuentes oficiales) para instrucciones específicas.
- Tras la actualización, fuerza el cierre de sesión de todos los usuarios y regenera las claves de seguridad de WordPress.
Checklist para administradores
- ☐ Verificar versión de MyHome Core ≤ 4.4.5
- ☐ Confirmar configuración legacy/WPBakery del tema
- ☐ Revisar ajustes de registro frontal y correo de confirmación
- ☐ Aplicar actualización del plugin o mitigaciones temporales
- ☐ Forzar logout global y regenerar claves de seguridad
- ☐ Monitorizar accesos sospechosos en logs de autenticación
Preguntas frecuentes
- ¿Qué CVE se está tratando?
- CVE-2026-15980, una omisión de autenticación en MyHome Core para WordPress.
- ¿Qué versiones son vulnerables?
- Todas las versiones hasta la 4.4.5 inclusive.
- ¿Se ha observado explotación en la wild?
- No hay constancia de explotación activa en las fuentes oficiales consultadas.
- ¿Cómo puedo proteger mi sitio sin actualizar ya?
- Desactiva el modo legacy/WPBakery del tema y deshabilita el registro frontal con confirmación por correo.
- ¿Dónde encuentro el aviso del fabricante?
- En la página de TangibleWP o en el portal de Microsoft MSRC (enlace en Fuentes oficiales).
- ¿Qué CWE se asigna?
- CWE-289 – Authentication Bypass by Alternate Name.