Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-107120 Evasión de verificación de correo en Contest Gallery por PIN de registro fuerza bruta

El plugin Contest Gallery para WordPress, en versiones anteriores a 33.0.1, no limita los intentos contra su paso de verificación de correo del registro frontal, que se basa en un PIN numérico corto. Atacantes no autenticados pueden forzar el PIN y crear y activar una cuenta de WordPress asociada a un correo que no controlan, obteniendo una sesión autenticada.

Alerta de Nureq Monitor

Detectada 10 OCT · 03:35

CVSS 3.1

5.3MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,2 % PERCENTIL 12

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-107120

El plugin Contest Gallery para WordPress, en versiones anteriores a 33.0.1, no limita los intentos contra su paso de verificación de correo del registro frontal, que se basa en un PIN numérico corto. Atacantes no autenticados pueden forzar el PIN y crear y activar una cuenta de WordPress asociada a un correo que no controlan, obteniendo una sesión autenticada.

Productos y versiones afectadas

  • Contest Gallery

    • hasta antes de 33.0.1

Qué hacer

  1. Verificá si usás Contest Gallery y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Ninguno
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Ninguna
INTEGRIDAD (I)
Baja
DISPONIBILIDAD (A)
Ninguna

Abrir la calculadora completa

Descripción original

The Contest Gallery WordPress plugin before 33.0.1 does not limit the number of attempts against its front-end registration email-verification step, which relies on a short numeric PIN, allowing unauthenticated attackers to brute-force the PIN and create and activate a WordPress account bound to an email address they do not own, gaining an authenticated session.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.