Vulnerabilidad en plugins de WordPress expone a 400.000 sitios a ataques de apropiación de cuentas

Una vulnerabilidad crítica en el plugin TranslatePress WordPress podría permitir a los atacantes no autenticados secuestrar cuentas de administrador y comprometer completamente los sitios web afectados. La falla, rastreada como CVE-2026-19632, afecta a las versiones de TranslatePress hasta 3.3.1 y se ha corregido en la versión 3.3.2.

TranslatePress es un plugin multilingüe de WordPress con más de 400.000 instalaciones activas. Wordfence asignó a la vulnerabilidad una puntuación CVSS de 9,8, clasificándola como crítica. La vulnerabilidad se debe a la forma en que TranslatePress procesa los correos electrónicos de restablecimiento de contraseña y guarda las cadenas traducibles. Cuando un administrador solicita un restablecimiento de contraseña, WordPress genera un correo electrónico que contiene una URL de restablecimiento con una clave de restablecimiento de texto sin formato y parámetros de inicio de sesión.

Vulnerabilidad del complemento TranslatePress WordPress Un atacante que conoce el nombre de usuario o la dirección de correo electrónico de un administrador podría desencadenar una solicitud de restablecimiento de contraseña, extraer el enlace de restablecimiento expuesto del diccionario de traducción, establecer una nueva contraseña e iniciar sesión como administrador. La publicación "Vulnerabilidad de un plugin de WordPress expone 400 000 sitios a ataques de toma de cuentas" apareció primero en Noticias de ciberseguridad.

Consultar publicación original ↗