Qué es y cómo funciona la falla
El plugin de WordPress WP Remote Users Sync, en versiones anteriores a la 2.2.1, contiene una vulnerabilidad de control de acceso. El plugin no restringe qué campos de una cuenta de usuario puede establecer un sitio remoto durante la sincronización. Esto permite que un sitio que posea las claves de sincronización compartidas asigne el rol de administrador, modifique cualquier cuenta existente y escriba metadatos de usuario arbitrarios, eludiendo las restricciones de roles y metadatos configuradas en el sitio receptor.
Productos y versiones afectadas
La vulnerabilidad afecta al plugin WP Remote Users Sync para WordPress en todas las versiones anteriores a la 2.2.1.
Impacto real y probabilidad de explotación
El impacto principal es la escalada de privilegios, permitiendo a un atacante con acceso a las claves de sincronización tomar control completo de un sitio WordPress. Según datos de Shodan, actualmente hay 0 hosts indexados con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos expuestos directamente en internet. El INCIBE-CERT de España clasifica la severidad de esta vulnerabilidad como P (por determinar o según su escala interna).
Qué hacer
Los administradores de sitios que utilicen este plugin deben actualizarlo de inmediato a la versión 2.2.1 o superior, que contiene la corrección para esta vulnerabilidad.
| CVE | CVE-2026-123097 |
|---|---|
| Severidad | HIGH |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).