Qué es la vulnerabilidad
El plugin WP Remote Users Sync para WordPress versiones anteriores a 2.3.0 no restringe qué metadatos de usuario pueden modificarse mediante solicitudes de sincronización remota. Esto permite que un sitio que posea las claves de sincronización compartidas modifique las capacidades de cualquier cuenta existente y la escale a administrador.
Impacto y probabilidad de explotación
La vulnerabilidad tiene un CVSS de 7.5 y está clasificada con severidad P por INCIBE-CERT. Según EPSS, existe un 0.2% de probabilidad de explotación en los próximos 30 días (percentil 6%). Actualmente no hay hosts expuestos detectados en Shodan.
Qué hacer
Los usuarios del plugin deben actualizar inmediatamente a la versión 2.3.0 o superior para mitigar esta vulnerabilidad de escalada de privilegios.
| CVE | CVE-2026-123092 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.5 / 10 |
| EPSS | 0.2% en 30 días (percentil 6) |
| CWE | CWE-269 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.