CVE-2026-89079
Theme My Login <= 7.2.1 - Escalada de privilegios no autenticada mediante el parámetro POST 'user_pass1' en el filtro wp_pre_insert_user_data
- Publicado
- 16 oct 2026
- Actualizado
- 16 oct 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 4 nov 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 76,3 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El plugin Theme My Login para WordPress es vulnerable a escalada de privilegios mediante la toma de control de cuentas en versiones hasta la 7.2.1, inclusive. Esto se debe a que el plugin no valida adecuadamente la identidad de un usuario antes de actualizar su contraseña. Esto hace posible que atacantes no autenticados cambien las contraseñas de usuarios arbitrarios en configuraciones multisitio bajo ciertas configuraciones.
Fuentes
http/cves/2026/CVE-2026-89079.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
Prueba de concepto en Python para CVE-2026-89079: identifica Theme My Login <=7.2.1 en WordPress multisitio y luego explota la sobrescritura de contraseña sin autenticación mediante lost-password y verifica el inicio de sesión.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.