🚨 Se ha identificado una vulnerabilidad crítica en el plugin TrueBooker – Appointment Booking and Scheduler System para WordPress, identificada como CVE-2026-14364, con una puntuación CVSS de 9.8 y nivel CRITICAL. Esta falla permite a atacantes no autenticados tomar el control de cuentas arbitrarias, incluyendo administradores, mediante una validación incorrecta del restablecimiento de contraseña. Se recomienda aplicar la actualización disponible de inmediato.
Índice
Resumen ejecutivo
| Campo | Dato |
|---|---|
| CVE | CVE-2026-14364 |
| Fabricante | themetechmount |
| Producto | TrueBooker – Appointment Booking and Scheduler System |
| Fecha de publicación | 7 de agosto de 2026 |
| Severidad | CRITICAL |
| Puntuación CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad (RyzerBot) | 220 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-14364 es una vulnerabilidad de toma de cuentas en el plugin TrueBooker – Appointment Booking and Scheduler System, utilizado en WordPress para gestionar citas y reservas. La falla se debe a que el plugin no valida correctamente la identidad del usuario antes de restablecer su contraseña, lo que permite a atacantes no autenticados cambiar la contraseña de cualquier cuenta, incluyendo la de administradores. La vulnerabilidad está catalogada como CWE-640: Mecanismo débil de recuperación de contraseñas olvidadas.
Técnicamente, la debilidad se encuentra en el flujo de restablecimiento de contraseña: el sistema no verifica suficientemente que la solicitud provenga del propietario legítimo de la cuenta. Un atacante puede explotar esto para tomar el control total del sitio, modificar contenido, robar datos o desplegar cargas maliciosas.
Productos y versiones vulnerables
Según las fuentes oficiales, la vulnerabilidad afecta a:
| Producto | Versiones afectadas |
|---|---|
| TrueBooker – Appointment Booking and Scheduler System | Todas las versiones hasta e incluyendo 1.2.3 |
No se han publicado versiones específicas fuera de este rango en las fuentes consultadas.
Impacto y riesgo
El impacto de esta vulnerabilidad es crítico:
- Confidencialidad: alta: un atacante puede acceder a datos sensibles de clientes y configuración del sistema.
- Integridad: alta: puede modificar contenido, introducir código malicioso o alterar registros.
- Disponibilidad: alta: puede bloquear el acceso legítimo a los administradores y usuarios.
Dado que el ataque no requiere autenticación previa y es explotable de forma remota, cualquier instalación de WordPress con el plugin TrueBooker en versiones 1.2.3 o anteriores está en riesgo inminente.
Estado de explotación conocida
No publicado por las fuentes consultadas. La selección de esta vulnerabilidad se basa en su reciente publicación y su puntuación CVSS 9.8, no en evidencia de explotación activa.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress está afectada:
- Accede al panel de administración de WordPress.
- Ve a Plugins → Plugins instalados.
- Localiza TrueBooker – Appointment Booking and Scheduler System.
- Comprueba el número de versión. Si es igual o inferior a 1.2.3, estás afectado.
Mitigación y actualización
No publicado por las fuentes consultadas. Sin embargo, se recomienda:
- Actualizar el plugin a la última versión disponible desde el repositorio oficial de WordPress.
- Revisar el aviso oficial del fabricante y aplicar la actualización publicada.
- Monitorizar registros de actividad en busca de restablecimientos de contraseña sospechosos.
Checklist para administradores
- ☐ Identificar todas las instancias de WordPress que usan TrueBooker.
- ☐ Verificar la versión del plugin en cada instancia.
- ☐ Aplicar la actualización oficial tan pronto como esté disponible.
- ☐ Revisar registros de auditoría para detectar actividad anómala reciente.
- ☐ Cambiar contraseñas de todas las cuentas de administrador si se sospecha compromiso.
- ☐ Notificar a los usuarios afectados si se detecta acceso no autorizado.
Preguntas frecuentes
¿Qué es CVE-2026-14364?
Es una vulnerabilidad de toma de cuentas en el plugin TrueBooker para WordPress, que permite a atacantes no autenticados cambiar la contraseña de cualquier usuario.
¿Qué versiones de TrueBooker están afectadas?
Todas las versiones hasta e incluyendo la 1.2.3.
¿Cuál es la puntuación CVSS?
9.8 (CRITICAL) con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
¿Hay evidencia de explotación activa?
No publicado por las fuentes consultadas.
¿Cómo puedo protegerme?
Actualiza el plugin a la versión más reciente y revisa los registros de actividad en busca de cambios sospechosos de contraseña.
¿Dónde puedo encontrar más información oficial?
En las fuentes oficiales listadas a continuación, incluyendo NVD y Wordfence.