CVE-2026-94541: Crítico bypass de autorización en WPMobile.App

Qué es la vulnerabilidad

La vulnerabilidad CVE-2026-94541 es un fallo de omisión de autorización (CWE-862) en el plugin WPMobile.App – Android and iOS App Builder para WordPress. El plugin no verifica correctamente que un usuario esté autorizado para realizar una acción específica, lo que permite a atacantes no autenticados explotar la funcionalidad de mail-to-push.

La cadena de explotación es la siguiente:

1. El plugin, cuando la opción wpmobile_auto_mail=1 está habilitada, refleja los correos electrónicos salientes de WordPress —incluyendo las notificaciones de restablecimiento de contraseña con sus URL y claves— en la cola de notificaciones push (push row queue).
2. Debido a la falta de verificación de autorización, un atacante no autenticado puede acceder a esta cola y exfiltrar las URL de restablecimiento de contraseña de usuarios arbitrarios.
3. Con estas URL, el atacante puede restablecer la contraseña de la víctima y tomar el control de su cuenta, incluida la de administradores.

El problema técnico reside en la incorrecta validación de permisos en varias rutas del plugin, como se evidencia en los archivos push.php, read_enhanced.php, deeplinking.php y sdk2019.php. Esta falta de control de acceso permite que cualquier usuario no autenticado interactúe con funciones que deberían estar restringidas.

Es importante destacar que la explotación exitosa depende de que la función mail-to-push esté activa. Sin embargo, dado el impacto potencial —compromiso total de cuentas de administrador—, la criticidad de esta vulnerabilidad se considera máxima.

Productos y versiones vulnerables

La vulnerabilidad catalogada como CVE-2026-94541 afecta al plugin para WordPress WPMobile.App – Android and iOS App Builder, desarrollado por el proveedor amauric. Según los datos publicados por CVE.org y NVD, todas las versiones del plugin hasta la 11.82 (incluida) se consideran afectadas por esta falla de seguridad.

Nota: No se han publicado versiones parcheadas específicas en las fuentes consultadas. Se recomienda consultar el repositorio oficial del plugin y el aviso del fabricante para conocer la disponibilidad de una actualización correctiva.

Impacto y riesgo

La vulnerabilidad presenta una puntuación CVSS de 9.8 (CRITICAL) con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto implica que un atacante remoto no autenticado puede explotar la falla sin necesidad de interacción del usuario, comprometiendo la confidencialidad, integridad y disponibilidad del sistema.

El impacto principal radica en un bypass de autorización (CWE-862) que permite a un atacante sin credenciales exfiltrar las URLs de restablecimiento de contraseña de usuarios arbitrarios, incluidos administradores. La cadena de explotación requiere que la funcionalidad mail-to-push del plugin (wpmobile_auto_mail=1) esté habilitada. Cuando esta condición se cumple, los correos de restablecimiento de contraseña salientes de WordPress —incluyendo la URL y la clave de restablecimiento— se reflejan en la cola de notificaciones push, donde el atacante puede acceder a ellos.

Las consecuencias prácticas incluyen la toma de control total de cuentas de usuario con privilegios elevados, lo que podría derivar en el compromiso completo del sitio WordPress, instalación de malware, robo de datos sensibles o uso del sitio como plataforma para ataques posteriores. Dada la naturaleza crítica del vector y la ausencia de requisitos de autenticación, se recomienda una revisión inmediata de la configuración del plugin.

Estado de explotación conocida

Las fuentes consultadas (NVD, CVE.org y Wordfence) no confirman explícitamente la existencia de exploits públicos o ataques activos para esta vulnerabilidad en el momento de la publicación. La ficha técnica describe la cadena de explotación de forma detallada, lo que sugiere que la técnica es viable, pero no se ha documentado un uso en entornos reales ni se han publicado pruebas de concepto (PoC) públicas verificadas.

Dado que la vulnerabilidad ha sido clasificada como crítica y el vector de ataque es remoto y no autenticado, se recomienda asumir un riesgo elevado y priorizar la aplicación de parches o mitigaciones tan pronto como estén disponibles.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. Los campos correspondientes en el contexto de enriquecimiento aparecen vacíos, por lo que no se dispone de IOC publicados para esta vulnerabilidad en las fuentes oficiales. No deben inventarse indicadores adicionales.

Se recomienda monitorizar los registros de acceso y las colas de notificaciones push en busca de actividad anómala, así como revisar los usuarios con privilegios elevados para detectar posibles cuentas comprometidas.

Cómo comprobar si estás afectado

Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-94541, debes verificar dos aspectos fundamentales: la versión del plugin y la configuración de la función mail-to-push. El vector de ataque descrito en el aviso requiere que ambas condiciones se cumplan simultáneamente.

1. Verifica la versión del plugin

Accede al panel de administración de WordPress y navega a Plugins → Plugins instalados. Localiza WPMobile.App – Android and iOS App Builder y comprueba el número de versión que aparece en la columna correspondiente. Según los datos publicados por CVE.org y NVD, todas las versiones hasta la 11.82 inclusive están afectadas por esta vulnerabilidad de omisión de autorización.

Si tu versión es anterior o igual a la 11.82, tu instalación es potencialmente vulnerable. Si utilizas una versión superior, deberías estar protegido, aunque se recomienda confirmar la disponibilidad de una actualización oficial en el repositorio de plugins de WordPress.

2. Comprueba la configuración de mail-to-push

La cadena de explotación descrita en el aviso requiere que la función mail-to-push esté habilitada. Esta función se activa mediante el parámetro wpmobile_auto_mail=1 en la configuración del plugin. Cuando está activa, los correos electrónicos de restablecimiento de contraseña de WordPress —incluidos los enlaces y claves de restablecimiento— se reflejan en la cola de notificaciones push del plugin, donde un atacante no autenticado podría acceder a ellos.

Para comprobarlo, revisa la configuración del plugin en WPMobile.App → Ajustes o busca el parámetro wpmobile_auto_mail en la base de datos. Si el valor es 1, la función está activa y tu sitio cumple la condición previa para el exploit.

Nota importante: La vulnerabilidad en sí (omisión de autorización) existe en todas las versiones hasta la 11.82, pero la explotación completa que permite el robo de enlaces de restablecimiento de contraseña solo es posible si la función mail-to-push está habilitada.

Mitigación y actualización

En el momento de la publicación de este análisis, no se ha publicado información oficial sobre una versión corregida del plugin WPMobile.App. Las fuentes consultadas (NVD y CVE.org) no incluyen datos sobre parches disponibles ni versiones posteriores a la 11.82 que resuelvan esta vulnerabilidad.

Mientras tanto, se recomienda aplicar las siguientes medidas de mitigación:

Medidas inmediatas

• Desactiva la función mail-to-push: Si no utilizas activamente esta funcionalidad, deshabilítala estableciendo wpmobile_auto_mail=0 o mediante la interfaz de configuración del plugin. Esto elimina la condición previa necesaria para la explotación completa de la vulnerabilidad.
• Supervisa la cola de notificaciones push: Si necesitas mantener la función activa, revisa periódicamente la cola de notificaciones para detectar accesos no autorizados o datos sensibles expuestos.
• Restringe el acceso al plugin: Considera limitar el acceso a las funciones administrativas del plugin mediante políticas de control de acceso o plugins de seguridad adicionales.

Seguimiento de actualizaciones

Dado que la vulnerabilidad ha sido publicada recientemente (2 de octubre de 2026), es probable que el fabricante publique una actualización correctiva en los próximos días. Se recomienda:

• Consultar periódicamente la página del plugin en el repositorio oficial de WordPress.
• Activar las notificaciones de actualización automática si tu instalación lo permite.
• Suscribirse a los avisos de seguridad de WordPress y del fabricante.

Checklist para administradores

• ☐ He verificado la versión instalada de WPMobile.App – Android and iOS App Builder.
• ☐ He confirmado si mi versión es igual o anterior a la 11.82 (afectada).
• ☐ He comprobado si la función mail-to-push está habilitada (wpmobile_auto_mail=1).
• ☐ He desactivado la función mail-to-push si no es imprescindible.
• ☐ He revisado la cola de notificaciones push en busca de enlaces de restablecimiento de contraseña expuestos.
• ☐ He verificado que no haya cuentas de administrador comprometidas o modificadas recientemente.
• ☐ He revisado los registros de actividad del servidor en busca de accesos no autenticados a las APIs del plugin.
• ☐ He contactado con el fabricante o consultado su sitio oficial para conocer la disponibilidad de una versión corregida.
• ☐ He establecido un recordatorio para revisar periódicamente las actualizaciones del plugin.
• ☐ He informado a otros administradores del sitio sobre esta vulnerabilidad y las medidas adoptadas.

Preguntas frecuentes

¿Qué es CVE-2026-94541?

Es una vulnerabilidad crítica de omisión de autorización (CWE-862) en el plugin WPMobile.App – Android and iOS App Builder para WordPress, que afecta a todas las versiones hasta la 11.82 inclusive. Permite a atacantes no autenticados acceder a enlaces de restablecimiento de contraseña de usuarios arbitrarios, incluidos administradores, cuando la función mail-to-push está habilitada.

¿Cuál es la puntuación CVSS de esta vulnerabilidad?

La vulnerabilidad tiene una puntuación CVSS v3.1 de 9.8 (Crítica), con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto indica que es explotable remotamente sin autenticación y con baja complejidad, con impacto total en confidencialidad, integridad y disponibilidad.

¿Cómo puede un atacante explotar esta vulnerabilidad?

El atacante necesita que la función mail-to-push esté habilitada (wpmobile_auto_mail=1). Cuando un usuario solicita un restablecimiento de contraseña, el correo electrónico generado por WordPress —incluyendo la URL y la clave de restablecimiento— se refleja en la cola de notificaciones push del plugin. El atacante, sin autenticación, puede acceder a esa cola y extraer los enlaces para tomar control de las cuentas objetivo.

¿Qué usuarios están en riesgo?

Todos los usuarios con cuentas en el sitio WordPress son potencialmente vulnerables, pero el riesgo es especialmente crítico para los administradores, ya que comprometer una cuenta de administrador permite al atacante tomar el control total del sitio.

¿Existe una versión corregida del plugin?

Según las fuentes consultadas (NVD y CVE.org), no se ha publicado información sobre una versión corregida en el momento de redactar este análisis. Se recomienda estar atento a las actualizaciones del plugin en el repositorio oficial de WordPress.

¿Debo desactivar el plugin si no puedo actualizarlo?

Si no puedes actualizar el plugin y la función mail-to-push está activa, se recomienda encarecidamente desactivar la función como medida de mitigación inmediata. Si el plugin no es esencial para tu operación, considera desactivarlo temporalmente hasta que se publique una versión corregida.