Resumen ejecutivo
| Campo | Detalle |
|---|---|
| CVE | CVE-2026-16310 |
| Fabricante | LearnDash |
| Producto | MemberDash (plugin para WordPress) |
| Fecha de publicación | 2026-09-06 |
| Severidad | CRITICAL |
| CVSS v3.1 | 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad (RyzerBot) | 220 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
El plugin MemberDash para WordPress presenta una falla de Insecure Direct Object Reference (CWE‑639) en el parámetro id utilizado durante el proceso de registro. Debido a la ausencia de validación de la clave controlada por el usuario, un atacante no autenticado puede suministrar un identificador de usuario arbitrario y restablecer la contraseña de esa cuenta, incluidas cuentas de administrador. La explotación no requiere interacción del usuario ni privilegios previos, y no genera notificación a la víctima.
Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. La puntuación de explotabilidad es 3.9 y la de impacto 5.9.
Productos y versiones vulnerables
| Fabricante | Producto | Versiones afectadas | Estado |
|---|---|---|---|
| LearnDash | MemberDash | ≤ 1.8.5 (todas las versiones desde 0 hasta 1.8.5 inclusive) | Afectado |
No se han publicado versiones posteriores a 1.8.5 en las fuentes consultadas; se recomienda verificar la página oficial del plugin para confirmar la disponibilidad de una versión corregida.
Impacto y riesgo
- Confidencialidad: Alta – el atacante puede acceder a cuentas de administrador y obtener control total del sitio.
- Integridad: Alta – posibilidad de modificar contenido, instalar plugins maliciosos, alterar configuraciones.
- Disponibilidad: Alta – el atacante puede bloquear el acceso legítimo, deshabilitar el sitio o usarlo como plataforma para ataques posteriores.
- Facilidad de explotación: Muy alta – no requiere autenticación, ni interacción del usuario, y el vector de red es remoto.
Estado de explotación conocida
⚠️ Las fuentes consultadas (NVD, CVE.org, Wordfence) no reportan explotación activa en la naturaleza en el momento de la publicación. La selección de esta CVE por RyzerBot se basa en su reciente publicación y puntuación CVSS ≥ 9.0, no en evidencia de explotación activa.
Indicadores de compromiso (IOC)
🔍 No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
- Accede al panel de administración de WordPress → Plugins → Plugins instalados.
- Localiza MemberDash y verifica la versión mostrada.
- Si la versión es 1.8.5 o anterior, el sitio es vulnerable.
- Revisa los registros de actividad (logs de acceso, auditoría de usuarios) en busca de restablecimientos de contraseña inesperados o creación de cuentas con IDs inusuales.
No se proporcionan comandos específicos porque la comprobación se realiza mediante la interfaz de WordPress y los logs del servidor.
Mitigación y actualización
- Actualizar: Descarga e instala la versión más reciente de MemberDash desde memberdashwp.com (versión superior a 1.8.5, si está disponible).
- Desactivar temporalmente: Si no existe aún una versión parcheada, desactiva el plugin hasta que se publique la corrección.
- Restringir acceso: Implementa reglas de firewall o WAF que bloqueen peticiones sospechosas al endpoint de registro que incluyen el parámetro
id. - Monitoreo: Habilita alertas de cambio de contraseña de administradores y revisa periódicamente la integridad de cuentas privilegiadas.
Checklist para administradores
- ☐ Verificar la versión de MemberDash instalada.
- ☐ Aplicar la actualización oficial o desactivar el plugin si no hay parche.
- ☐ Revisar logs de registro y restablecimiento de contraseñas de las últimas 48 h.
- ☐ Cambiar contraseñas de todas las cuentas de administrador como medida preventiva.
- ☐ Configurar alertas de integridad para cuentas privilegiadas.
- ☐ Documentar la incidencia y acciones tomadas en el registro de cambios de seguridad.
Preguntas frecuentes
- ¿Qué versiones de MemberDash son vulnerables?
- Todas las versiones hasta la 1.8.5 inclusive.
- ¿Se necesita autenticación para explotar la falla?
- No, la vulnerabilidad puede ser explotada por atacantes no autenticados.
- ¿Existe un parche oficial ya publicado?
- Las fuentes consultadas no indican una versión corregida; se recomienda consultar memberdashwp.com para actualizaciones.
- ¿Qué impacto tiene en un sitio WordPress típico?
- Permite la toma de control total del sitio al cambiar la contraseña de cualquier usuario, incluidos administradores.
- ¿Hay evidencia de explotación en la naturaleza?
- No, no se reporta explotación activa en las fuentes oficiales al momento de la publicación.
- ¿Qué debo hacer si no puedo actualizar inmediatamente?
- Desactiva el plugin, monitoriza accesos anómalos y aplica controles de red (WAF) para mitigar el riesgo.