El plugin 6Storage Rentals para WordPress presenta una vulnerabilidad crítica (CVE-2026-103883) que permite a atacantes autenticados -incluso con privilegios mínimos de suscriptor- tomar el control completo de cualquier cuenta del sistema, incluyendo administradores. El fallo reside en que el plugin no verifica permisos ni tokens de seguridad antes de escribir configuraciones críticas, permitiendo que un atacante modifique la URL de la API y luego se autentique como cualquier usuario cuya dirección de correo conozca o pueda adivinar.
Con una puntuación CVSS de 8.8, esta vulnerabilidad representa un riesgo alto ya que compromete totalmente el sitio WordPress afectado. Aunque Shodan no reporta hosts expuestos actualmente, los sitios que usan versiones del plugin hasta la 2.31.0 deben actualizar inmediatamente.
| CVE | CVE-2026-103883 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.8 / 10 |
| CWE | CWE-287 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.