Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-16142 |
| Fabricante | themetechmount |
| Producto | TrueBooker – Appointment Booking and Scheduler System |
| Fecha de publicación | 2026-08-15 |
| Severidad | CRÍTICO |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 200 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-16142 reside en el plugin TrueBooker – Appointment Booking and Scheduler System para WordPress, desarrollado por themetechmount. El fallo se encuentra en el manejador AJAX add_front_user_update(), que está registrado para usuarios no autenticados. Este manejador acepta un valor arbitrario truebooker_wp_user_id y lo pasa directamente a la función wp_update_user() sin verificar la autenticación ni la propiedad del usuario. Esto permite a un atacante no autenticado cambiar la dirección de correo electrónico de cualquier cuenta de usuario de WordPress, incluida la de un administrador, simplemente enviando el ID del usuario objetivo y una dirección de correo controlada por el atacante. Posteriormente, el atacante puede utilizar el flujo nativo de restablecimiento de contraseña de WordPress para recibir el enlace de restablecimiento en la dirección de correo controlada y tomar el control total de la cuenta.
Productos y versiones vulnerables
| Producto | Versiones afectadas |
|---|---|
| TrueBooker – Appointment Booking and Scheduler System | Todas las versiones hasta la 1.2.6 inclusive |
No se han publicado otras versiones o productos afectados en las fuentes consultadas.
Impacto y riesgo
El impacto de esta vulnerabilidad es crítico. Un atacante no autenticado puede:
- Cambiar la dirección de correo electrónico de cualquier usuario de WordPress, incluidos los administradores.
- Iniciar el proceso de restablecimiento de contraseña y recibir el enlace en su propio correo.
- Tomar el control total de la cuenta comprometida.
- Escalar privilegios si la cuenta tomada es de administrador, pudiendo instalar plugins maliciosos, modificar contenido o acceder a datos sensibles.
La puntuación CVSS de 9.8 refleja la facilidad de explotación (sin autenticación, sin interacción del usuario) y el alto impacto en confidencialidad, integridad y disponibilidad.
Estado de explotación conocida
No se ha publicado información sobre explotación activa de esta vulnerabilidad en las fuentes consultadas. La selección de esta CVE por parte de RyzerBot se basa en su reciente publicación y su puntuación CVSS igual o superior a 9.0, no en evidencia de explotación activa.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress está afectada por CVE-2026-16142:
- Accede al panel de administración de WordPress.
- Ve a Plugins → Plugins instalados.
- Busca el plugin TrueBooker – Appointment Booking and Scheduler System.
- Comprueba la versión instalada. Si es igual o inferior a 1.2.6, estás afectado.
- Si no encuentras el plugin, no estás afectado.
Mitigación y actualización
Las fuentes oficiales recomiendan:
- Revisar el aviso oficial del fabricante (themetechmount) y aplicar la actualización publicada.
- Actualizar el plugin a la versión más reciente disponible. Según el registro de cambios en Trac, se ha publicado una actualización en el changeset 3640018.
- Si no es posible actualizar inmediatamente, considerar la desactivación temporal del plugin hasta que se aplique la corrección.
Checklist para administradores
- ☐ Identificar si el plugin TrueBooker está instalado y su versión.
- ☐ Si la versión es ≤ 1.2.6, aplicar la actualización disponible.
- ☐ Verificar que no haya cuentas de administrador con correos electrónicos no autorizados.
- ☐ Revisar los registros de actividad de WordPress en busca de cambios de correo sospechosos.
- ☐ Considerar la implementación de un firewall de aplicaciones web (WAF) para bloquear peticiones maliciosas al manejador AJAX.
- ☐ Mantener todos los plugins y el núcleo de WordPress actualizados.
Preguntas frecuentes
¿Qué es CVE-2026-16142?
Es una vulnerabilidad crítica de tipo Account Takeover en el plugin TrueBooker para WordPress, que permite a atacantes no autenticados tomar el control de cualquier cuenta de usuario.
¿Qué versiones están afectadas?
Todas las versiones del plugin TrueBooker hasta la 1.2.6 inclusive.
¿Necesito autenticarme para explotar esta vulnerabilidad?
No, la vulnerabilidad puede ser explotada por atacantes no autenticados.
¿Hay algún parche disponible?
Sí, se ha publicado un changeset en el repositorio de Trac de WordPress. Se recomienda actualizar a la última versión disponible del plugin.
¿Cómo puedo protegerme si no puedo actualizar inmediatamente?
Como medida temporal, desactive el plugin TrueBooker hasta que pueda aplicar la actualización.
¿Se ha detectado explotación activa?
No, las fuentes consultadas no indican explotación activa en este momento.