¿Qué es esta vulnerabilidad?
El plugin Shipo para WordPress contiene una vulnerabilidad crítica de bypass de autenticación (CWE-287) en sus versiones 1.6 hasta 1.8.0. La función authenticate_rest_user() autentica usuarios basándose únicamente en el nombre de usuario dentro de la cookie LOGGED_IN_COOKIE, sin verificar la firma criptográfica de la cookie.
¿Cómo funciona el ataque?
Un atacante sin autenticación que conozca el nombre de usuario de un administrador puede:
- Bypassear la restricción de la ruta
/wp-json/shipo/incluyendo esta subcadena en la query string de cualquier endpoint REST - Impersonar al usuario objetivo (incluyendo administradores)
- Realizar acciones privilegiadas a través de la API REST, como crear nuevas cuentas de administrador
Impacto y criticidad
La vulnerabilidad tiene un CVSS 9.8 (CRÍTICO) y está catalogada como T1078 – Valid Accounts en MITRE ATT&CK. Actualmente Shodan reporta 0 hosts detectados con esta vulnerabilidad expuesta en internet.
¿Qué hacer?
Usuarios del plugin Shipo deben actualizar inmediatamente a una versión posterior a la 1.8.0 para mitigar esta vulnerabilidad.
| CVE | CVE-2026-19907 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| CWE | CWE-287 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto inferido de la descripción de NVD; el CPE estructurado aún no está publicado.
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.