Qué es y cómo funciona
El plugin VibeBP para WordPress contiene una vulnerabilidad de escalada de privilegios en todas las versiones hasta la 1.9.9.8.1. La falla reside en la función set_email_notification_settings(), que permite a usuarios autenticados actualizar arbitrariamente metadatos de usuario, incluyendo el valor wp_capabilities que controla los permisos.
Productos y versiones afectadas
Plugin: VibeBP
Versiones vulnerables: Todas hasta la 1.9.9.8.1 inclusive
Impacto y explotación
Un atacante autenticado con privilegios de Suscriptor o superior puede otorgarse a sí mismo privilegios de administrador. El CVSS 3.x score es 8.8 (Alto). Según Shodan, actualmente hay 0 hosts expuestos en internet con esta vulnerabilidad detectada. La técnica MITRE ATT&CK asociada es T1068 – Exploitation for Privilege Escalation. INCIBE-CERT (España) clasifica la severidad como P (Preocupante).
Qué hacer
Actualiza inmediatamente el plugin VibeBP a una versión posterior a la 1.9.9.8.1 para mitigar la vulnerabilidad.
| CVE | CVE-2026-16135 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.8 / 10 |
| CWE | CWE-269 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.