Fuente base de datos: Wordfence Intelligence
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.
Se ha identificado una vulnerabilidad crítica en el plugin TrueBooker (versión <= 1.2.3) que permite a usuarios no autenticados restablecer contraseñas arbitrarias. Esta brecha de seguridad puede comprometer la integridad de las cuentas de usuario y la operación del sitio web.
El fallo se origina en un bypass de autorización en el proceso de restablecimiento de contraseña, accesible a través del parámetro 'tbab-userid'. La falta de controles adecuados permite que cualquier usuario no autenticado ejecute esta acción, exponiendo así las cuentas de los usuarios.
La explotación de esta vulnerabilidad puede resultar en el acceso no autorizado a cuentas de usuario, lo que puede llevar a la divulgación de datos sensibles y a la pérdida de confianza por parte de los usuarios. La severidad de este fallo, con un CVSS de 9.8, indica un impacto significativo en la seguridad del negocio.
El vector de explotación implica enviar una solicitud manipulada al endpoint de restablecimiento de contraseña, especificando un 'tbab-userid' válido para ejecutar el restablecimiento sin autorización.
Actualizar el plugin TrueBooker a la versión 1.2.4 o superior para corregir la vulnerabilidad. Revisar los registros de actividad para detectar intentos de restablecimiento de contraseña no autorizados. Implementar medidas de seguridad adicionales, como la verificación de CAPTCHA en formularios de restablecimiento de contraseña.
Buscar en los registros de acceso patrones de solicitudes inusuales al endpoint de restablecimiento de contraseña, especialmente aquellas que incluyen el parámetro 'tbab-userid'.
Las versiones afectadas son todas las anteriores a la 1.2.4 del plugin TrueBooker. No se ha confirmado si otras extensiones o plugins están relacionados.
truebooker-appointment-booking
¿Tu WordPress podría estar expuesto?
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un expertoGestiona el consentimiento por categoría según tus preferencias.
Imprescindibles para la navegación, seguridad y funcionamiento básico.
Nos ayuda a medir uso y rendimiento para mejorar contenidos y UX. Incluye un identificador anónimo de visitante para analizar navegación, formularios, chat y análisis WP.
Permite personalizar campañas y medir conversiones en canales externos.
Puedes cambiar o retirar el consentimiento en cualquier momento desde «Preferencias de cookies». Más información en la Política de cookies.