🚨 Alerta Crítica: Se ha publicado la vulnerabilidad CVE-2026-18315 que afecta al plugin TrueBooker – Appointment Booking and Scheduler System para WordPress en versiones hasta la 1.2.6. Un atacante no autenticado puede explotar una omisión de autenticación para tomar el control de cualquier cuenta de usuario, incluyendo administradores. La puntuación CVSS es 9.8 (Crítica). Se recomienda actualizar el plugin de inmediato.
Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-18315 |
| Fabricante | PHP Group (plugin de themetechmount) |
| Producto | TrueBooker – Appointment Booking and Scheduler System |
| Fecha de publicación | 2026-08-19 |
| Severidad | CRÍTICA |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 220 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-18315 reside en el plugin TrueBooker – Appointment Booking and Scheduler System para WordPress, desarrollado por themetechmount. Se trata de una omisión de autenticación mediante clave controlada por el usuario (CWE-639) que permite la toma de control de cuentas (Account Takeover).
El fallo se encuentra en el manejador AJAX admin_user_create_cus, que carece de cualquier comprobación de autenticación o capacidades. Un atacante no autenticado puede enviar una solicitud con el parámetro truebooker_wp_user_id para sobrescribir la dirección de correo electrónico de cualquier usuario de WordPress, incluido un administrador. Posteriormente, puede utilizar el flujo estándar de recuperación de contraseña de WordPress para restablecer la contraseña y tomar el control total de la cuenta.
Productos y versiones vulnerables
| Producto | Versiones afectadas |
|---|---|
| TrueBooker – Appointment Booking and Scheduler System | Todas las versiones hasta la 1.2.6 inclusive |
Según las fuentes consultadas, no se han publicado versiones específicas parcheadas, pero se ha realizado un cambio en el repositorio de plugins (changeset 3640018) que probablemente corrige el fallo. Se recomienda actualizar a la versión más reciente disponible.
Impacto y riesgo
La explotación exitosa de esta vulnerabilidad permite a un atacante no autenticado:
- Sobrescribir la dirección de correo electrónico de cualquier usuario, incluidos administradores.
- Iniciar el proceso de restablecimiento de contraseña de WordPress.
- Tomar el control total de la cuenta objetivo.
Dado que el atacante no necesita credenciales previas y el vector de ataque es remoto a través de la red, el impacto es máximo en términos de confidencialidad, integridad y disponibilidad (C:H/I:H/A:H).
Estado de explotación conocida
No hay información pública sobre explotación activa en las fuentes consultadas. La selección de esta CVE por parte de RyzerBot se basa en su publicación reciente y en una puntuación CVSS igual o superior a 9.0, no en la existencia de exploits activos.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
- Accede al panel de administración de WordPress.
- Ve a Plugins → Plugins instalados.
- Busca TrueBooker – Appointment Booking and Scheduler System y verifica la versión instalada.
- Si la versión es igual o inferior a 1.2.6, el sitio está afectado.
No se dispone de comandos de verificación adicionales proporcionados por las fuentes.
Mitigación y actualización
La acción recomendada por las fuentes oficiales es: Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.
Dado que el plugin tiene un changeset en el repositorio (cambioset 3640018), se recomienda:
- Actualizar el plugin a la última versión disponible desde el repositorio oficial de WordPress.
- Si no hay una versión parcheada, aplicar manualmente los cambios del changeset o eliminar el plugin hasta que se publique una corrección.
- Revisar los registros de actividad en busca de intentos de explotación.
Checklist para administradores
- ☐ Verificar la versión del plugin TrueBooker.
- ☐ Si la versión es ≤ 1.2.6, aplicar la actualización de inmediato.
- ☐ Revisar los usuarios de WordPress en busca de cambios no autorizados en correos electrónicos.
- ☐ Revisar los registros de acceso y errores del servidor web.
- ☐ Considerar la habilitación de autenticación multifactor (MFA) para cuentas administrativas.
- ☐ Mantener una copia de seguridad reciente de la base de datos y archivos.
Preguntas frecuentes
¿Qué versión de TrueBooker está afectada?
Todas las versiones hasta la 1.2.6 inclusive.
¿Cómo se aprovecha esta vulnerabilidad?
Un atacante no autenticado envía una solicitud al manejador AJAX admin_user_create_cus con el parámetro truebooker_wp_user_id para cambiar el correo de un administrador y luego restablece la contraseña.
¿Existe algún parche disponible?
Las fuentes indican un changeset (3640018) en el repositorio, pero no se ha publicado una versión oficial actualizada. Se recomienda contactar al desarrollador o aplicar la mitigación indicada.
¿Puede un atacante autenticado explotar esta vulnerabilidad?
No, el fallo se encuentra en un manejador sin autenticación, por lo que cualquier atacante remoto no autenticado puede explotarlo.
¿Qué debo hacer si ya he sido comprometido?
Cambie inmediatamente las contraseñas de todas las cuentas de usuario, especialmente las de administrador, y revise los correos electrónicos asociados. Considere restaurar desde una copia de seguridad anterior a la posible fecha de compromiso.
¿Cómo puedo protegerme mientras no hay parche?
Desactive temporalmente el plugin o implemente reglas de firewall (WAF) para bloquear las solicitudes al manejador AJAX vulnerable.