Qué es y cómo funciona la falla
El plugin de WordPress WP Remote Users Sync en versiones anteriores a la 2.2.1 no implementa controles de autorización ni de CSRF en una de sus acciones AJAX. Esto permite que cualquier usuario autenticado en el sitio, incluso con un rol bajo como suscriptor, pueda acceder a una función destinada solo a administradores y eliminar por completo el registro de actividad del plugin.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones del plugin WP Remote Users Sync anteriores a la 2.2.1.
Impacto real
El impacto principal es la eliminación del registro de actividad del plugin, lo que podría dificultar la auditoría y la investigación de incidentes. Aunque no permite la toma de control del sitio, sí compromete la integridad de los registros y la trazabilidad de acciones. El INCIBE-CERT de España ha clasificado la severidad de esta vulnerabilidad como P (su significado exacto depende de la escala interna del organismo).
Explotación en la red
Según datos de Shodan, actualmente no hay hosts indexados en internet con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos expuestos directamente en la web.
Qué hacer
Los administradores de sitios que utilicen este plugin deben actualizarlo de inmediato a la versión 2.2.1 o superior, donde el desarrollador ha corregido la falta de controles de autorización.
| CVE | CVE-2026-123093 |
|---|---|
| Severidad | HIGH |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).