Resumen ejecutivo
La vulnerabilidad en WPBot (hasta la versión 8.5.9) permite el envío no autorizado de correos electrónicos a través de la acción AJAX wpcs_send_email. Esto puede comprometer la seguridad del sistema y permitir el abuso de recursos.
Fuente base de datos: Wordfence Intelligence
WPBot <= 8.5.9 - Missing Authorization to Unauthenticated Email Relay via wpcs_send_email AJAX Action en Chatbot (falta de autorizacion) - version 8.6.0
PLUGIN
MEDIUM
CVE-2026-16774
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.
Contexto técnico
Este fallo de tipo 'authbypass' se produce en el plugin WPBot, donde la acción AJAX wpcs_send_email no valida adecuadamente la autorización del usuario. Esto expone el sistema a ataques de relay de correo electrónico por parte de usuarios no autenticados.
Impacto potencial
El impacto en el negocio puede incluir el uso indebido del servidor de correo, lo que podría resultar en bloqueos por parte de proveedores de servicios de correo y afectar la reputación del dominio. Además, puede facilitar el envío de spam desde el servidor comprometido.
Vector de explotación
La explotación se realiza enviando solicitudes maliciosas a la acción AJAX wpcs_send_email, permitiendo a un atacante enviar correos electrónicos sin autenticación previa.
Mitigación recomendada
Actualizar el plugin WPBot a la versión 8.6.0 o superior para corregir la vulnerabilidad. Revisar la configuración de permisos y acceso al plugin para limitar la exposición. Monitorear los registros de actividad del servidor de correo para detectar envíos inusuales.
Señales de detección
Señales de riesgo incluyen registros de actividad que muestran un número inusualmente alto de correos electrónicos enviados desde el servidor o intentos de acceso a la acción AJAX wpcs_send_email sin autenticación.
Alcance afectado
Las versiones afectadas son WPBot hasta la 8.5.9. La versión 8.6.0 y posteriores ya no presentan esta vulnerabilidad.
Vulnerabilidades relacionadas
MEDIUM
PLUGIN
chatbot
WPBot <= 8.5.9 - Unauthenticated Sensitive Information Exposure in 'wpbot_send_email_transcript' AJAX Action
MEDIUM
PLUGIN
chatbot
WPBot <= 8.5.6 - Missing Authorization to Unauthenticated Arbitrary Chat Session Deletion via 'userid' Parameter
CRITICAL
PLUGIN
chatbot
ChatBot <= 5.1.0 - Unauthenticated PHP Object Injection
MEDIUM
PLUGIN
chatbot
AI ChatBot <= 4.8.9 - Unauthenticated Sensitive Information Exposure via qcld_wb_chatbot_check_user
CRITICAL
PLUGIN
chatbot
ChatBot <= 4.4.6 - Unauthenticated PHP Object Injection via Cookies
¿Tu WordPress podría estar expuesto?
Comprueba si tu web tiene esta vulnerabilidad
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
¿Necesitas ayuda de un experto?
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un experto