Qué es y cómo funciona
El plugin SEOJuice para WordPress en versiones anteriores a la 2.12.0 contiene una falla que desactiva incorrectamente la protección REST nonce del sitio completo. Esto permite a atacantes no autenticados ejecutar acciones REST que normalmente requieren autenticación por cookies, incluyendo la creación de nuevas cuentas de administrador, mediante un ataque de CSRF (Cross-Site Request Forgery) que engaña a un administrador logeado para que visite una página maliciosa.
Productos y versiones afectadas
SEOJuice WordPress plugin en todas las versiones anteriores a la 2.12.0.
Impacto y probabilidad de explotación
El EPSS indica un 0.1% de probabilidad de explotación real en los próximos 30 días (percentil 2%), considerado bajo. Shodan no reporta hosts expuestos actualmente indexados. INCIBE-CERT (España) clasifica la severidad como P (por confirmar).
Qué hacer
Actualizar el plugin SEOJuice a la versión 2.12.0 o superior inmediatamente para mitigar la vulnerabilidad.
| CVE | CVE-2026-123046 |
|---|---|
| Severidad | HIGH |
| EPSS | 0.1% en 30 días (percentil 2) |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).