Plataforma
wordpress
Componente
app-builder
Corregido en
5.5.11
La vulnerabilidad CVE-2026-2375 es una escalada de privilegios presente en el plugin App Builder para WordPress. Esta falla permite a atacantes no autenticados obtener privilegios elevados al asignar el rol 'wcfm_vendor' sin pasar por el flujo de aprobación del Marketplace WCFM. Afecta a las versiones desde 0.0.0 hasta la 5.5.10. Se recomienda actualizar el plugin a una versión corregida o implementar medidas de mitigación.
Un atacante puede explotar esta vulnerabilidad registrando una cuenta y asignándose directamente el rol 'wcfmvendor' sin la aprobación necesaria del administrador. Esto le otorga acceso a funcionalidades y datos restringidos, potencialmente comprometiendo la integridad del sitio WordPress y la información de los usuarios. La falta de control sobre la asignación de roles permite a los atacantes acceder a información sensible, modificar configuraciones y realizar acciones en nombre de usuarios con privilegios elevados, lo que podría resultar en una brecha de seguridad significativa. La vulnerabilidad se centra en la función verifyrole() en AuthTrails.php que no valida adecuadamente la asignación del rol.
La vulnerabilidad fue publicada el 2026-03-21. Actualmente no se dispone de información sobre explotación activa en la naturaleza. Se recomienda monitorear las fuentes de inteligencia de amenazas para detectar posibles campañas de explotación. La vulnerabilidad no se encuentra listada en el KEV de CISA al momento de la redacción.
Estado del Exploit
EPSS
0.06% (18% percentil)
CISA SSVC
Vector CVSS
La mitigación principal es actualizar el plugin App Builder a una versión corregida que solucione la vulnerabilidad. Si la actualización no es posible de inmediato, se recomienda implementar medidas de seguridad adicionales. Revise y fortalezca el flujo de aprobación de usuarios en el Marketplace WCFM para asegurar que todos los nuevos usuarios sean verificados antes de ser asignados a roles con privilegios. Implemente reglas en el firewall de aplicaciones web (WAF) para bloquear solicitudes sospechosas que intenten manipular la asignación de roles. Monitoree los registros del servidor en busca de intentos de creación de usuarios con el rol 'wcfm_vendor' que no hayan sido aprobados.
No hay un parche conocido disponible. Por favor, revise los detalles de la vulnerabilidad en profundidad y emplee mitigaciones basadas en la tolerancia al riesgo de su organización. Puede ser mejor desinstalar el software afectado y buscar un reemplazo.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-2375 is a vulnerability in the App Builder WordPress plugin allowing unauthenticated attackers to register with the 'wcfm_vendor' role, bypassing vendor approval and potentially gaining elevated privileges. It affects versions 0.0.0–5.5.10.
If you are using the App Builder WordPress plugin in versions 0.0.0 through 5.5.10, you are potentially affected by this vulnerability. Check your plugin version and upgrade as soon as a patch is available.
The recommended fix is to upgrade to a patched version of the App Builder plugin. Until a patch is released, disable the plugin or manually review and approve all new user registrations.
While no public exploits are currently known, the ease of exploitation suggests a potential for rapid exploitation once a proof-of-concept is released. Monitor your systems closely.
Refer to the App Builder plugin developer's website or the WordPress plugin repository for official advisories and updates regarding CVE-2026-2375.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.