Fuente base de datos: Wordfence Intelligence

TrueBooker – Appointment Booking and Scheduler System <= 1.2.3 - Unauthenticated Privilege Escalation en Truebooker Appointment Booking (escalada de privilegios) - version 1.2.4

PLUGIN CRITICAL CVE-2026-61951

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin TrueBooker (versión <= 1.2.3) que permite la escalación de privilegios sin autenticación. Esta falla podría comprometer la seguridad operativa del sistema, permitiendo a atacantes no autenticados obtener acceso privilegiado.

Contexto técnico

El fallo se origina en la gestión de permisos dentro del plugin TrueBooker, que no valida adecuadamente las solicitudes de privilegios. Esto permite a usuarios malintencionados ejecutar acciones que normalmente requerirían autenticación, exponiendo la superficie de ataque a cualquier visitante del sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a un acceso no autorizado a funciones críticas del sistema, afectando la integridad de los datos y la confianza del usuario. Esto puede resultar en pérdidas económicas y reputacionales significativas para la organización.

Vector de explotación

Los atacantes pueden aprovecharse de esta vulnerabilidad enviando solicitudes maliciosas a la API del plugin, sin necesidad de autenticarse previamente.

Mitigación recomendada

Actualizar el plugin TrueBooker a la versión 1.2.4 o superior para cerrar la vulnerabilidad. Revisar los registros de acceso para identificar intentos de explotación. Implementar controles adicionales de seguridad, como firewalls de aplicaciones web (WAF), para mitigar riesgos futuros.

Señales de detección

Señales que pueden indicar un intento de explotación incluyen registros de acceso inusuales a funciones administrativas y peticiones a la API sin autenticación previa.

Alcance afectado

Las versiones del plugin TrueBooker hasta la 1.2.3 están afectadas. No se han reportado casos de explotación en versiones superiores.

Vulnerabilidades relacionadas

HIGH PLUGIN

eventon-action-user

EventON Action User <= 2.5.14 - Missing Authorization to Unauthenticated Privilege Escalation via evoau_save_capability AJAX Action

HIGH PLUGIN

wpify-woo

WPify Woo <= 5.4.16 - Authenticated (Shop Manager+) Privilege Escalation via Arbitrary Option Update via save_option REST Endpoint

HIGH PLUGIN

mobile-dj-manager

MDJM Event Management <= 1.7.8.4 - Authenticated (Subscriber+) Privilege Escalation via 'set-permissions' and 'change_role' Handlers

CRITICAL PLUGIN

mountdev-ai-mcp-connector

MountDev AI MCP Connector for WordPress <= 1.6.1 - Unauthenticated Privilege Escalation via OAuth Authorization Endpoint

CRITICAL PLUGIN

easy-form-builder

Easy Form Builder by WhiteStudio <= 4.0.11 - Unauthenticated Privilege Escalation to Administrator via Password Recovery REST Endpoint

HIGH PLUGIN

truebooker-appointment-booking

TrueBooker – Appointment Booking and Scheduler System <= 1.2.3 - Unauthenticated SQL Injection

CRITICAL PLUGIN

bricksforge

Bricksforge <= 3.1.8.6 - Unauthenticated Privilege Escalation via Pro Forms fieldIds Parameter

HIGH PLUGIN

wpfunnels

WPFunnels <= 3.12.8 - Authenticated (Funnel Manager+) Privilege Escalation via 'group_id' Path Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto