El plugin Reset Database para WordPress, en versiones hasta la 1.1.3, contiene una vulnerabilidad crítica de escalada de privilegios (CVE-2026-119615). Un atacante con acceso mínimo de suscriptor puede eliminar todas las tablas de la base de datos, reinstalar WordPress con sus credenciales como único administrador, autenticarse y borrar el directorio de uploads.
La vulnerabilidad se debe a múltiples fallos en la función process_reset(), incluyendo la falta de verificación de capacidades, una condición de acceso que se cumple si no existe un administrador llamado 'admin' (común en instalaciones modernas) y una verificación de contraseña que valida la del atacante en lugar de la de un administrador real.
| CVE | CVE-2026-119615 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.8 / 10 |
| CWE | CWE-269 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.