Qué es y cómo funciona
El plugin de WordPress User Verification by PickPlugins, en versiones anteriores a la 2.0.49, contiene una vulnerabilidad crítica de autenticación. La falla permite que atacantes sin credenciales puedan realizar ataques de fuerza bruta contra el código de verificación de un solo uso (OTP) utilizado en el inicio de sesión. El sistema no limita los intentos de verificación y los códigos generados no expiran, lo que facilita adivinarlos. Es especialmente peligroso cuando el código está configurado para usar solo dígitos.
Productos y versiones afectadas
La vulnerabilidad afecta al plugin User Verification by PickPlugins para WordPress en todas las versiones anteriores a la 2.0.49.
Impacto real
Un atacante exitoso puede explotar esta falla para iniciar sesión como cualquier usuario del sitio, incluyendo cuentas con privilegios de administrador. Esto otorga control total sobre el sitio web vulnerable. El INCIBE-CERT de España clasifica la severidad de esta vulnerabilidad como P (Prioritaria).
Explotación y probabilidad
La probabilidad de explotación en los próximos 30 días se estima baja (0.1% de EPSS, percentil 3%). Actualmente, no hay hosts detectados en Shodan expuestos públicamente con esta vulnerabilidad, lo que sugiere un volumen limitado de objetivos directos en internet.
Qué hacer
Los administradores de sitios que utilicen este plugin deben actualizarlo de inmediato a la versión 2.0.49 o superior, donde el desarrollador ha solucionado la falla. No aplicar el parche deja el sitio expuesto a un compromiso total.
| CVE | CVE-2026-76792 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.1 / 10 |
| EPSS | 0.1% en 30 días (percentil 3) |
| CWE | CWE-287 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.