Resumen ejecutivo
| Campo | Detalle |
|---|---|
| CVE | CVE-2026-9055 |
| Fabricante | melograno |
| Producto | Booking for Appointments and Events Calendar – Amelia (Premium) |
| Fecha de publicación | 2026-09-02 |
| Severidad | CRITICAL |
| CVSS v3.1 | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad (RyzerBot) | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
El plugin Amelia (Premium) para WordPress, en sus versiones 8.0 a 9.6.2, presenta una validación insuficiente del parámetro type en el endpoint de actualización de cliente. Un atacante puede manipular este parámetro para asignarse el rol manager y, al enviar externalId=0, provocar la creación de un usuario de WordPress con el rol wpamelia-manager. Posteriormente, el atacante puede crear una entidad provider vinculada a un ID de administrador existente y sobrescribir la contraseña de dicho administrador, logrando una escalada completa de privilegios sin necesidad de autenticación previa.
Productos y versiones vulnerables
| Fabricante | Producto | Versiones afectadas |
|---|---|---|
| melograno | Booking for Appointments and Events Calendar – Amelia (Premium) | 8.0 ≤ versión ≤ 9.6.2 |
Impacto y riesgo
- Confidencialidad: Acceso total a datos de administrador y de la instalación WordPress.
- Integridad: Posibilidad de modificar cualquier contenido, usuarios, plugins y configuración.
- Disponibilidad: Un atacante puede deshabilitar el sitio, instalar malware o redirigir tráfico.
- La puntuación CVSS 9.8 (CRITICAL) refleja que la vulnerabilidad es explotable de forma remota, sin autenticación ni interacción del usuario.
Estado de explotación conocida
No se ha publicado evidencia de explotación activa en las fuentes consultadas (NVD, CVE.org, Wordfence). La selección del bot se basa en la criticidad del CVSS y la reciente publicación, no en explotación confirmada.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
- Accede al panel de administración de WordPress.
- Ve a Plugins → Plugins instalados y localiza Booking for Appointments and Events Calendar – Amelia (Premium).
- Verifica la versión mostrada. Si está entre 8.0 y 9.6.2 (inclusive), el sitio es vulnerable.
- Si no puedes ver la versión, revisa el archivo
readme.txtoplugin.phpdentro del directorio del plugin (wp-content/plugins/amelia/) donde se indica la versión.
Mitigación y actualización
- Actualizar a la versión más reciente publicada por el fabricante (superior a 9.6.2). Consulta el changelog oficial.
- Si no es posible actualizar de inmediato, desactivar y eliminar el plugin hasta aplicar la actualización.
- Revisar cuentas de usuario creadas recientemente con roles
managerowpamelia-managery eliminar las sospechosas. - Cambiar contraseñas de todos los administradores y forzar la renovación de sesiones.
Checklist para administradores
- ☐ Verificar versión del plugin Amelia en todos los sitios WordPress gestionados.
- ☐ Aplicar actualización a versión >9.6.2 o desactivar el plugin si no hay parche disponible.
- ☐ Auditar usuarios con roles
manager/wpamelia-managercreados tras la fecha de publicación (2026-09-02). - ☐ Rotar credenciales de administradores y forzar logout global.
- ☐ Revisar logs de acceso y de WordPress en busca de peticiones al endpoint de actualización de cliente con parámetros anómalos.
- ☐ Implementar WAF / reglas de bloqueo para peticiones que manipulen el parámetro
typeen endpoints de Amelia. - ☐ Documentar la incidencia y actualizar el inventario de vulnerabilidades de la organización.
Preguntas frecuentes
¿Qué versiones exactas son vulnerables?
Todas las versiones desde 8.0 hasta 9.6.2 inclusive.
¿Se necesita autenticación para explotar la vulnerabilidad?
No. El vector CVSS indica PR:N (ningún privilegio) y UI:N (sin interacción de usuario).
¿Existe un parche oficial ya publicado?
Sí, el fabricante ha publicado versiones posteriores a 9.6.2. Consulta el changelog oficial para la versión exacta.
¿Puedo mitigar el riesgo sin actualizar?
La mitigación más segura es desactivar el plugin hasta poder actualizar. No hay mitigación parcial conocida que elimine la causa raíz.
¿Hay evidencia de explotación en la wild?
No, las fuentes consultadas no reportan explotación activa confirmada.
¿Qué CWE se asigna a esta vulnerabilidad?
CWE-269: Improper Privilege Management.