CVE-2026-88827 Evasión de autenticación de cuentas deshabilitadas en Disable Users hasta 1.0.5 vía XML-RPC y Application…
El plugin Disable Users para WordPress hasta la versión 1.0.5 no aplica su control de deshabilitación de cuentas en todas las rutas de autenticación, lo que permite al titular de una cuenta deshabilitada por un administrador seguir autenticándose con todos los privilegios de la cuenta.
8.8ALTA
CVSS 3.1
- Probabilidad de explotación0,3 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Disable Users
hasta 1.0.5
Qué hacer
- Verificá si usás Disable Users y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.8 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The Disable Users WordPress plugin through 1.0.5 does not enforce its account-disabling control on all authentication paths, allowing the holder of an account an administrator has disabled to continue authenticating with the account's full privileges.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.