Fuente base de datos: Wordfence Intelligence

CAFEHAUS API <= 1.0.0 - Unauthenticated Privilege Escalation via Password Reset en Cafe API (escalada de privilegios)

PLUGIN CRITICAL CVE-2026-12981

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin CAFEHAUS API que permite la escalada de privilegios sin necesidad de autenticación. Este fallo puede comprometer la seguridad operativa al permitir a atacantes no autenticados obtener privilegios elevados.

Contexto técnico

El fallo se origina en el proceso de restablecimiento de contraseñas del plugin CAFEHAUS API, afectando a todas las instalaciones que utilizan versiones anteriores a 1.0.0. La falta de controles adecuados permite a un atacante ejecutar acciones restringidas sin autenticación previa.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en un acceso no autorizado a funciones críticas del sistema, poniendo en riesgo la integridad de los datos y la confidencialidad de la información. Las organizaciones pueden enfrentar pérdidas económicas y daños a su reputación.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad mediante la manipulación del proceso de restablecimiento de contraseñas, lo que les permite escalar privilegios sin ser usuarios autenticados.

Mitigación recomendada

Actualizar el plugin CAFEHAUS API a la versión 1.0.0 o superior para corregir la vulnerabilidad. Realizar una auditoría de seguridad para identificar posibles accesos no autorizados previos. Implementar medidas de seguridad adicionales, como autenticación de dos factores, para proteger el acceso a funciones críticas.

Señales de detección

Revisar los logs de acceso en busca de intentos de restablecimiento de contraseñas no autorizados o inusuales. Monitorear cambios en los niveles de acceso de usuarios.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin CAFEHAUS API anteriores a la 1.0.0. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

HIGH PLUGIN

plugins-on-steroids

Eazy Plugin Manager <= 4.4.1 - Authenticated (Subscriber+) Privilege Escalation via pos_get_option AJAX Action and admin/login REST Endpoint

HIGH PLUGIN

password-requirements

WP Password Policy <= 3.7.1 - Authenticated (Subscriber+) Privilege Escalation

HIGH PLUGIN

eventon-action-user

EventON Action User <= 2.5.14 - Missing Authorization to Unauthenticated Privilege Escalation via evoau_save_capability AJAX Action

HIGH PLUGIN

wpify-woo

WPify Woo <= 5.4.16 - Authenticated (Shop Manager+) Privilege Escalation via Arbitrary Option Update via save_option REST Endpoint

CRITICAL PLUGIN

wp-base-booking-of-appointments-services-and-events

WP BASE Booking of Appointments, Services and Events <= 6.3.1 - Authenticated (Subscriber+) Privilege Escalation

HIGH PLUGIN

mobile-dj-manager

MDJM Event Management <= 1.7.8.4 - Authenticated (Subscriber+) Privilege Escalation via 'set-permissions' and 'change_role' Handlers

CRITICAL PLUGIN

mountdev-ai-mcp-connector

MountDev AI MCP Connector for WordPress <= 1.6.1 - Unauthenticated Privilege Escalation via OAuth Authorization Endpoint

CRITICAL PLUGIN

easy-form-builder

Easy Form Builder by WhiteStudio <= 4.0.11 - Unauthenticated Privilege Escalation to Administrator via Password Recovery REST Endpoint

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto