CVE-2026-89079: fallo crítico en Theme My Login

Qué es la vulnerabilidad

Theme My Login es un popular plugin de WordPress que permite personalizar los formularios de autenticación, registro y recuperación de contraseña, integrándolos con el tema del sitio. Es especialmente utilizado en instalaciones multisitio, donde centraliza la gestión de usuarios y accesos.

La vulnerabilidad CVE-2026-89079 se clasifica como un fallo de gestión inadecuada de privilegios (CWE-269). Según la descripción publicada por NVD y CVE.org, el plugin no valida correctamente la identidad del usuario antes de permitir la actualización de su contraseña. Esto significa que, en determinadas configuraciones de multisitio, un atacante no autenticado podría modificar la contraseña de cualquier usuario del sitio sin conocer sus credenciales previas.

El origen del problema reside en la lógica de manejo de solicitudes de cambio de contraseña: el plugin confía en parámetros de la solicitud que deberían verificarse contra la sesión o el token de autenticación del usuario. Al no realizar esta comprobación de forma robusta, se abre la puerta a la toma de control de cuentas (account takeover), lo que constituye una escalada de privilegios directa: un atacante podría acceder a cuentas con roles administrativos y comprometer por completo la instalación de WordPress.

La vulnerabilidad afecta a todas las versiones del plugin hasta la 7.2.1 inclusive. El fabricante ya ha publicado un changeset en el repositorio oficial de plugins de WordPress (revisión 3696081), lo que sugiere que existe una versión corregida o un parche disponible. No obstante, la descripción oficial no detalla el número exacto de la versión corregida, por lo que se recomienda consultar el aviso del fabricante y actualizar a la última versión disponible.

El vector CVSS refleja la gravedad del problema: explotación remota sin autenticación (AV:N/AC:L/PR:N/UI:N), con impacto total en confidencialidad, integridad y disponibilidad (C:H/I:H/A:H). La puntuación de explotabilidad es de 3.9 y el impacto de 5.9, lo que confirma que la vulnerabilidad es fácilmente explotable y sus consecuencias son críticas.

Es importante señalar que, aunque la descripción menciona que la explotación se produce en configuraciones multisitio «en ciertas circunstancias», la falta de detalles adicionales en las fuentes consultadas impide determinar con precisión qué condiciones específicas son necesarias. Por ello, cualquier instalación de Theme My Login en versión 7.2.1 o anterior debe considerarse potencialmente vulnerable y tratarse con la máxima prioridad.

En resumen, estamos ante una vulnerabilidad crítica que permite la toma de control total de cuentas de usuario en WordPress sin necesidad de credenciales previas. La combinación de facilidad de explotación, impacto severo y la popularidad del plugin en entornos multisitio la convierten en un objetivo prioritario para los atacantes.

Productos y versiones vulnerables

El aviso de seguridad CVE-2026-89079 afecta al plugin Theme My Login de WordPress, desarrollado por jfarthing84. Según la información publicada por CVE.org y NVD, las versiones vulnerables son todas aquellas iguales o anteriores a la 7.2.1.

No se ha publicado información sobre versiones posteriores corregidas en las fuentes consultadas. Se recomienda revisar el repositorio oficial del plugin y el aviso del fabricante para confirmar la disponibilidad de una actualización que resuelva esta vulnerabilidad.

Impacto y riesgo

La vulnerabilidad ha sido clasificada con una severidad CRITICAL y una puntuación CVSS v3.1 de 9.8 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Esto implica un riesgo elevado debido a los siguientes factores:

• Vector de ataque remoto (AV:N): el atacante no necesita acceso físico ni a la red local.
• Complejidad de ataque baja (AC:L): no se requieren condiciones especiales para explotar la vulnerabilidad.
• Sin privilegios previos (PR:N): un atacante no autenticado puede llevar a cabo el ataque.
• Sin interacción del usuario (UI:N): no es necesario engañar a un usuario para que realice alguna acción.
• Impacto alto en confidencialidad, integridad y disponibilidad (C:H/I:H/A:H): la explotación exitosa puede comprometer completamente la cuenta de un usuario arbitrario.

La causa raíz se encuentra en un fallo de gestión de privilegios (CWE-269). El plugin no valida correctamente la identidad del usuario antes de permitir la actualización de su contraseña. Esto posibilita que un atacante no autenticado pueda cambiar la contraseña de cualquier usuario en configuraciones de multi-sitio (multisite) bajo ciertas condiciones. El impacto principal es la toma de control de cuentas (account takeover), que puede derivar en el acceso no autorizado a paneles de administración, modificación de contenido, exfiltración de datos y compromiso total del sitio.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información sobre explotación activa de esta vulnerabilidad. No se ha confirmado ni documentado ningún exploit público o campaña de ataque que haga uso de CVE-2026-89079 en el momento de la publicación de este análisis.

Sin embargo, la naturaleza de la vulnerabilidad (escalada de privilegios sin autenticación) y su puntuación CVSS de 9.8 la convierten en un objetivo altamente atractivo para atacantes. Se recomienda encarecidamente aplicar las medidas de mitigación de forma inmediata, sin esperar a que se confirme la explotación activa.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. El campo enrichment.ioc aparece vacío, por lo que no se dispone de IOC publicados para esta vulnerabilidad.

Ante la ausencia de IOC oficiales, se recomienda a los administradores de sitios WordPress que utilicen Theme My Login:

• Revisar los registros de actividad del servidor en busca de intentos de restablecimiento de contraseña inusuales o masivos.
• Auditar las cuentas de usuario en busca de cambios de contraseña no autorizados o recientes.
• Monitorizar los logs de autenticación y los accesos a los endpoints de restablecimiento de contraseña.

Es importante señalar que estas recomendaciones son medidas generales de higiene de seguridad y no deben interpretarse como IOC confirmados para este CVE específico.

Cómo comprobar si estás afectado

Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-89079, debes verificar la versión del plugin Theme My Login que tienes activa. La vulnerabilidad afecta a todas las versiones hasta la 7.2.1 inclusive, por lo que cualquier instalación con una versión igual o anterior debe considerarse en riesgo.

Pasos para verificar tu instalación

1. Accede al panel de administración de WordPress.
2. Navega a Plugins → Plugins instalados.
3. Localiza Theme My Login en la lista y comprueba el número de versión que se muestra junto al nombre del plugin.
4. Si la versión es 7.2.1 o inferior, tu sitio es potencialmente vulnerable.

Además, ten en cuenta que la vulnerabilidad se explota en configuraciones de multisitio bajo ciertas condiciones. Si tu WordPress está configurado como red multisitio, el riesgo es significativamente mayor y debes actuar con urgencia.

Nota importante: La descripción oficial indica que la vulnerabilidad permite a atacantes no autenticados cambiar contraseñas de usuarios arbitrarios. Esto implica una exposición crítica, especialmente en entornos donde el plugin gestiona el acceso de múltiples usuarios.

Mitigación y actualización

En el momento de la publicación de esta CVE, la información disponible indica que la vulnerabilidad está presente en versiones hasta la 7.2.1. No se ha publicado oficialmente una versión corregida en las fuentes consultadas.

Medidas de mitigación inmediatas

• Revisa el aviso oficial del fabricante (jfarthing84) y el changeset publicado en el repositorio de WordPress para conocer el estado de la corrección.
• Supervisa los cambios en el repositorio oficial del plugin en WordPress.org para detectar cuándo se publica una versión parcheada.
• Limita el acceso al plugin si es posible, restringiendo su uso únicamente a las páginas y funciones estrictamente necesarias.
• Audita los registros de actividad de tu sitio en busca de intentos de cambio de contraseña sospechosos o accesos no autorizados.
• Considera desactivar temporalmente el plugin en entornos multisitio si no es imprescindible para la operación, hasta que se publique una versión corregida.

Consulta el changeset 3696081 en el repositorio de WordPress para revisar los cambios aplicados al código y determinar si la corrección ya está disponible.

Checklist para administradores

• ☐ He verificado la versión instalada de Theme My Login en todos los sitios de mi red.
• ☐ He confirmado si mi instalación es multisitio y si el plugin está activo en la red.
• ☐ He revisado el aviso oficial del fabricante y las referencias de NVD.
• ☐ He comprobado el changeset publicado en el repositorio de WordPress para conocer el estado de la corrección.
• ☐ He auditado los registros de actividad en busca de intentos de cambio de contraseña no autorizados.
• ☐ He notificado al equipo de administración sobre la exposición potencial.
• ☐ He establecido un plan de actualización inmediata cuando se publique la versión corregida.
• ☐ He considerado la desactivación temporal del plugin en entornos de alto riesgo.
• ☐ He revisado las políticas de contraseñas y la autenticación multifactor para los usuarios administrativos.
• ☐ He documentado las acciones tomadas y las fechas de revisión para seguimiento.

Preguntas frecuentes

¿Qué es CVE-2026-89079?

Es una vulnerabilidad crítica de escalada de privilegios mediante la toma de control de cuentas en el plugin Theme My Login para WordPress, en versiones hasta la 7.2.1 inclusive. Permite a atacantes no autenticados cambiar contraseñas de usuarios arbitrarios en configuraciones multisitio bajo ciertas condiciones.

¿Cuál es la puntuación CVSS de esta vulnerabilidad?

La vulnerabilidad tiene una puntuación CVSS de 9.8 (CRÍTICA) según el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, lo que indica un impacto total en confidencialidad, integridad y disponibilidad.

¿Qué versión de Theme My Login está afectada?

Todas las versiones del plugin hasta la 7.2.1 inclusive están afectadas. No se ha publicado información sobre una versión corregida en las fuentes consultadas.

¿Cómo puedo saber si mi sitio ha sido comprometido?

Revisa los registros de actividad de WordPress y los logs del servidor en busca de solicitudes sospechosas relacionadas con el restablecimiento de contraseñas. También verifica si hay cuentas de usuario con contraseñas modificadas recientemente sin una solicitud legítima.

¿La vulnerabilidad afecta a instalaciones de WordPress de un solo sitio?

Según la descripción oficial, la explotación se produce en configuraciones multisitio bajo ciertas condiciones. Sin embargo, dado el nivel de criticidad, se recomienda aplicar las mismas medidas de precaución en cualquier instalación que utilice el plugin.

¿Existe algún exploit público disponible?

No se ha publicado información sobre exploits públicos en las fuentes consultadas. No obstante, la naturaleza de la vulnerabilidad y su facilidad de explotación (requisitos de red, baja complejidad, sin autenticación) hacen probable que se desarrollen exploits en breve.