🚨 Alerta de seguridad crítica: Se ha publicado la vulnerabilidad CVE-2026-16300 que afecta al plugin ChamaWP para WordPress (versiones anteriores a 1.0.13). Con una puntuación CVSS de 9.8, permite a atacantes no autenticados restablecer la contraseña de cualquier usuario, incluidos administradores, lo que puede derivar en la toma completa del sitio. Se recomienda aplicar la actualización disponible de forma inmediata.
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-16300 |
| Fabricante | Tecnología empresarial |
| Producto | Infraestructura y sistemas (plugin ChamaWP) |
| Fecha de publicación | 2026-08-03 |
| Severidad | CRÍTICA |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 200 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-16300 es una vulnerabilidad de tipo autorización faltante (CWE-862) en el plugin ChamaWP para WordPress, en versiones anteriores a la 1.0.13. El plugin no valida correctamente las solicitudes de restablecimiento de contraseña, lo que permite a un atacante remoto no autenticado enviar una petición maliciosa y cambiar la contraseña de cualquier usuario registrado en el sitio, incluidos aquellos con rol de administrador.
Esta falla se explota a través de la red sin necesidad de credenciales previas ni interacción del usuario, lo que la hace especialmente peligrosa. Una vez que el atacante toma control de una cuenta administrativa, puede modificar archivos, instalar plugins maliciosos, robar datos o redirigir el tráfico del sitio.
Productos y versiones vulnerables
Según las fuentes oficiales consultadas, el producto afectado es:
| Producto | Versión afectada | Versión segura |
|---|---|---|
| ChamaWP (plugin WordPress) | Versiones anteriores a 1.0.13 | 1.0.13 y posteriores |
No se han publicado otros productos o versiones afectados en las fuentes consultadas.
Impacto y riesgo
El impacto de esta vulnerabilidad es crítico debido a que:
- Permite el restablecimiento de contraseñas de cualquier usuario sin autenticación.
- Un atacante puede escalar privilegios hasta obtener una cuenta de administrador.
- La toma del sitio puede llevar al robo de datos, instalación de malware o suplantación del servicio.
- La puntuación CVSS de 9.8 refleja un ataque de baja complejidad, sin privilegios ni interacción del usuario.
El vector CVSS (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) indica que el ataque es remoto, de complejidad baja, no requiere privilegios ni interacción del usuario, y afecta a la confidencialidad, integridad y disponibilidad de forma alta.
Estado de explotación conocida
No se ha publicado información sobre explotación activa de esta vulnerabilidad en las fuentes consultadas. La selección de esta CVE por parte de RyzerBot se basa en su reciente publicación y su puntuación CVSS superior a 9.0, no en evidencia de explotación en curso.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable:
- Accede al panel de administración de WordPress.
- Ve a Plugins y localiza ChamaWP.
- Comprueba la versión instalada. Si es inferior a 1.0.13, estás afectado.
- También puedes consultar la página oficial del plugin o el repositorio de WordPress para verificar la versión.
No se proporcionan comandos específicos en las fuentes oficiales.
Mitigación y actualización
La acción recomendada por las fuentes oficiales es:
Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.
En concreto, se debe actualizar el plugin ChamaWP a la versión 1.0.13 o superior. La actualización está disponible a través del repositorio oficial de WordPress o mediante la página de plugins en el panel de administración.
Si no es posible actualizar de inmediato, se recomienda desactivar el plugin hasta que se pueda aplicar el parche.
Checklist para administradores
- ☐ Identificar todos los sitios WordPress que usan el plugin ChamaWP.
- ☐ Verificar la versión instalada de ChamaWP en cada sitio.
- ☐ Actualizar ChamaWP a la versión 1.0.13 o superior en todos los sitios afectados.
- ☐ Revisar los registros de actividad en busca de restablecimientos de contraseña sospechosos.
- ☐ Cambiar las contraseñas de todos los usuarios administradores como medida preventiva.
- ☐ Monitorear la integridad de los archivos del sitio y la presencia de cuentas no autorizadas.
- ☐ Mantener copias de seguridad recientes y funcionales.
Preguntas frecuentes
¿Qué es CVE-2026-16300?
Es una vulnerabilidad crítica en el plugin ChamaWP para WordPress que permite a atacantes no autenticados restablecer contraseñas de cualquier usuario, incluidos administradores.
¿Qué versiones de ChamaWP están afectadas?
Todas las versiones anteriores a la 1.0.13 están afectadas.
¿Cómo puedo protegerme?
Actualizando el plugin a la versión 1.0.13 o superior. Si no es posible, desactiva el plugin temporalmente.
¿Se requiere autenticación para explotar esta vulnerabilidad?
No, el ataque puede realizarse sin autenticación previa.
¿Hay evidencia de explotación activa?
No, las fuentes consultadas no indican explotación activa en el momento de la publicación.
¿Dónde puedo encontrar más información?
En las fuentes oficiales listadas a continuación, incluyendo el aviso de WPScan y la entrada en NVD.