VULNERABILIDAD
CVE-2026-87835 Asignación de nivel de membresía y estado de cuenta sin autenticación en Front End Users
El plugin Front End Users para WordPress hasta la versión 3.2.35 no restringe qué atributos de cuenta puede establecer un visitante al registrarse mediante sus formularios front-end. Un atacante no autenticado puede asignarse un nivel de membresía arbitrario y marcar su cuenta como aprobada, confirmada y paga, eludiendo las restricciones de contenido y el control de registro del plugin.
Alerta de Nureq Monitor
Detectada 24 OCT · 04:39
CVSS 3.1
6.5MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 9
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-87835
El plugin Front End Users para WordPress hasta la versión 3.2.35 no restringe qué atributos de cuenta puede establecer un visitante al registrarse mediante sus formularios front-end. Un atacante no autenticado puede asignarse un nivel de membresía arbitrario y marcar su cuenta como aprobada, confirmada y paga, eludiendo las restricciones de contenido y el control de registro del plugin.
Productos y versiones afectadas
Front End Users
Qué hacer
- Verificá si usás Front End Users y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Baja
- INTEGRIDAD (I)
- Baja
- DISPONIBILIDAD (A)
- Ninguna
Abrir la calculadora completa →
Descripción original
The Front End Users WordPress plugin through 3.2.35 does not restrict which account attributes a visitor may set when registering through its front-end forms, allowing unauthenticated users to assign themselves an arbitrary membership level and to mark their own account as approved, confirmed and paid, bypassing the Front End Users WordPress plugin through 3.2.35's content restrictions and its registration gating.
Referencias
- wpscan.com/vulnerability/9a761c19-1608-43f7-9ab3-f92f3fc0aadf/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.