🚨 Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-14365 que afecta al plugin TrueBooker – Appointment Booking and Scheduler System para WordPress. Con una puntuación CVSS de 9.8, permite a atacantes no autenticados cambiar la contraseña de cualquier usuario, incluidos administradores. Se recomienda aplicar la actualización disponible de inmediato.
Índice
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-14365 |
| Fabricante | Tecnología empresarial (themetechmount) |
| Producto | TrueBooker – Appointment Booking and Scheduler System (plugin WordPress) |
| Fecha de publicación | 2026-08-07 |
| Severidad | CRITICAL |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 220 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-14365 es un fallo de omisión de autorización (CWE-862) en el plugin TrueBooker – Appointment Booking and Scheduler System para WordPress. El plugin no verifica correctamente si un usuario está autorizado para realizar una acción, lo que permite a atacantes no autenticados cambiar la contraseña de cualquier cuenta de usuario, incluidos los administradores. Esto puede ser aprovechado para obtener acceso completo al sitio WordPress afectado.
La vulnerabilidad afecta a todas las versiones del plugin hasta la 1.2.3 inclusive. Fue descubierta y reportada a través de Wordfence Threat Intelligence y publicada en el NVD el 7 de agosto de 2026.
Productos y versiones vulnerables
| Producto | Versión afectada |
|---|---|
| TrueBooker – Appointment Booking and Scheduler System (plugin WordPress) | Todas las versiones hasta 1.2.3 inclusive |
Nota: No se han publicado otras versiones o productos afectados por las fuentes consultadas.
Impacto y riesgo
El impacto de esta vulnerabilidad es crítico. Un atacante sin autenticación puede:
- Cambiar la contraseña de cualquier usuario, incluyendo administradores.
- Tomar el control total del sitio WordPress.
- Acceder a datos sensibles, modificar contenido o instalar plugins maliciosos.
- Utilizar el sitio comprometido como punto de partida para ataques adicionales.
Dado que el vector de ataque es remoto, no requiere interacción del usuario y la complejidad es baja, el riesgo de explotación es muy alto.
Estado de explotación conocida
No publicado por las fuentes consultadas. La selección de esta CVE por RyzerBot se basa en su publicación reciente y una puntuación CVSS de 9.8, no en evidencia de explotación activa. Se recomienda actuar con la máxima urgencia.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para verificar si tu instalación de WordPress está afectada:
- Accede al panel de administración de WordPress.
- Ve a Plugins → Plugins instalados.
- Busca TrueBooker – Appointment Booking and Scheduler System.
- Comprueba el número de versión. Si es igual o inferior a 1.2.3, estás afectado.
Nota: No se proporcionan comandos específicos en las fuentes oficiales.
Mitigación y actualización
La acción recomendada es actualizar el plugin a la versión más reciente disponible. Según las referencias del NVD, se ha publicado un changeset en el repositorio oficial de WordPress (ver enlace en fuentes). Se debe:
- Actualizar el plugin TrueBooker – Appointment Booking and Scheduler System a la versión superior a 1.2.3.
- Si no es posible actualizar, considerar desactivar temporalmente el plugin hasta que se aplique el parche.
- Revisar el aviso oficial del fabricante para obtener instrucciones detalladas.
Checklist para administradores
- ☐ Identificar la versión instalada del plugin TrueBooker.
- ☐ Si la versión es ≤ 1.2.3, proceder a la actualización inmediata.
- ☐ Verificar que no se hayan creado usuarios no autorizados en el sitio.
- ☐ Revisar los registros de actividad (logs) en busca de accesos sospechosos.
- ☐ Cambiar todas las contraseñas de administradores como medida preventiva.
- ☐ Mantener el resto de plugins y el núcleo de WordPress actualizados.
- ☐ Implementar un firewall de aplicaciones web (WAF) si no está activo.
Preguntas frecuentes
¿Qué es CVE-2026-14365?
Es una vulnerabilidad crítica de omisión de autorización en el plugin TrueBooker para WordPress que permite a atacantes no autenticados cambiar contraseñas de cualquier usuario.
¿Qué versiones están afectadas?
Todas las versiones hasta la 1.2.3 inclusive.
¿Cómo puedo protegerme?
Actualizando el plugin a la versión más reciente (superior a 1.2.3) siguiendo las indicaciones del fabricante.
¿Se está explotando activamente esta vulnerabilidad?
No publicado por las fuentes consultadas. No hay evidencia de explotación activa en el momento de la publicación.
¿Qué hago si ya he sido comprometido?
Cambia inmediatamente todas las contraseñas, revisa usuarios y roles, restaura desde una copia de seguridad limpia y aplica la actualización.
¿Dónde puedo encontrar más información?
En las fuentes oficiales listadas a continuación, incluyendo el NVD y Wordfence.