CVE-2026-81422 Registro arbitrario de usuarios en Advanced Appointment Booking & Scheduling
El plugin no verifica la configuración de registro de usuarios del sitio antes de crear cuentas mediante un shortcode de acceso público, lo que permite a atacantes no autenticados registrar cuentas de usuario arbitrarias y quedar automáticamente conectados, incluso cuando el registro de usuarios está deshabilitado en el sitio. Corregido en la versión 2.7.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 3
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Advanced Appointment Booking & Scheduling
hasta antes de 2.7
Qué hacer
- Verificá si usás Advanced Appointment Booking & Scheduling y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The Advanced Appointment Booking & Scheduling WordPress plugin before 2.7 does not verify the site's user-registration setting before creating accounts through a publicly accessible shortcode, allowing unauthenticated attackers to register arbitrary user accounts, and be automatically logged in, even when user registration is disabled on the site.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.