TrueBooker – Appointment Booking and Scheduler System <= 1.2.3 - Unauthenticated Privilege Escalation en Truebooker Appointment Booking (escalada de privilegios) - version 1.2.4

PLUGIN CRITICAL CVE-2026-61951

Datos técnicos procedentes de Wordfence Intelligence. Análisis y contenido explicativo elaborados por SeguridadWP mediante un proceso editorial asistido por IA. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin TrueBooker (versión <= 1.2.3) que permite la escalación de privilegios sin autenticación. Esta falla podría comprometer la seguridad operativa del sistema, permitiendo a atacantes no autenticados obtener acceso privilegiado.

Contexto técnico

El fallo se origina en la gestión de permisos dentro del plugin TrueBooker, que no valida adecuadamente las solicitudes de privilegios. Esto permite a usuarios malintencionados ejecutar acciones que normalmente requerirían autenticación, exponiendo la superficie de ataque a cualquier visitante del sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a un acceso no autorizado a funciones críticas del sistema, afectando la integridad de los datos y la confianza del usuario. Esto puede resultar en pérdidas económicas y reputacionales significativas para la organización.

Vector de explotación

Los atacantes pueden aprovecharse de esta vulnerabilidad enviando solicitudes maliciosas a la API del plugin, sin necesidad de autenticarse previamente.

Mitigación recomendada

Actualizar el plugin TrueBooker a la versión 1.2.4 o superior para cerrar la vulnerabilidad. Revisar los registros de acceso para identificar intentos de explotación. Implementar controles adicionales de seguridad, como firewalls de aplicaciones web (WAF), para mitigar riesgos futuros.

Señales de detección

Señales que pueden indicar un intento de explotación incluyen registros de acceso inusuales a funciones administrativas y peticiones a la API sin autenticación previa.

Alcance afectado

Las versiones del plugin TrueBooker hasta la 1.2.3 están afectadas. No se han reportado casos de explotación en versiones superiores.

Vulnerabilidades relacionadas

HIGH PLUGIN

wholesale-market

Wholesale Market <= 2.2.2 - Authenticated (Subscriber+) Privilege Escalation via 'role_required' Parameter

CRITICAL PLUGIN

truebooker-appointment-booking

TrueBooker <= 1.2.6 - Unauthenticated Account Takeover via Insecure Direct Object Reference in 'truebooker_wp_user_id' Parameter

HIGH PLUGIN

real-estate-manager-pro

Real Estate Manager Pro <= 12.8.6 - Authenticated (Subscriber+) Privilege Escalation via 'user_has_cap' Filter ID Collision

HIGH PLUGIN

propovoice

Propovoice: All-in-One Client Management System <= 1.7.8 - Authenticated (ndpv_manager+) Privilege Escalation via 'role' Parameter

HIGH PLUGIN

bloyal

bLoyal: Loyalty & Promotions by bLoyal <= 3.1.611.78 - Authenticated (Subscriber+) Privilege Escalation via Unprotected AJAX API URL Settings

CRITICAL PLUGIN

mstore-api

MStore API – Create Native Android & iOS Apps On The Cloud <= 4.20.0 - Unauthenticated Privilege Escalation

CRITICAL PLUGIN

miniorange-otp-verification

miniOrange OTP Login, Verification and SMS Notifications <= 5.5.1 - Unauthenticated Privilege Escalation

HIGH PLUGIN

directories-pro

Directories Pro <= 2.0.5 - Authenticated (Subscriber+) Privilege Escalation

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto