¿Qué es y cómo funciona?
Una vulnerabilidad de autorización (CWE-862) en el complemento AutomatorWP Pro para WordPress permite omitir las verificaciones de permisos. La falla reside específicamente en el addon de webhook. Cuando un administrador configura una automatización que combina un disparador Receive Webhook (con el campo Is the user ID configurado) con una acción Update-User (dejando el campo User ID en blanco y mapeando el campo Password a la etiqueta de contraseña del webhook), un atacante sin autenticar puede explotar esta configuración para restablecer la contraseña de cualquier cuenta de WordPress, incluyendo las de administrador, logrando la toma completa de la cuenta.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones del addon de webhook de AutomatorWP Pro hasta la 1.4.4 inclusive.
Impacto y severidad
El impacto es crítico, ya que resulta en la toma completa de cuentas de administrador y el consiguiente control total del sitio web afectado. La puntuación CVSS 9.8 (Crítico) y la clasificación de severidad P por parte del INCIBE-CERT (España) reflejan este alto riesgo.
Explotación y exposición
La explotación requiere una configuración específica por parte de un administrador, pero esta configuración está documentada y es soportada por el plugin. Actualmente, Shodan no reporta hosts expuestos con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos directamente visibles en internet.
¿Qué hacer?
Los usuarios del complemento deben actualizar inmediatamente el addon de webhook de AutomatorWP Pro a una versión posterior a la 1.4.4, una vez que el proveedor publique un parche. Mientras tanto, se recomienda revisar y deshabilitar cualquier automatización que coincida con la configuración vulnerable descrita.
| CVE | CVE-2026-126173 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| CWE | CWE-862 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |