CVE-2026-94541
WPMobile.App <= 11.82 - Toma de control de cuenta de administrador sin autenticación mediante el parámetro 'wpapp_category[]'
- Publicado
- 2 oct 2026
- Actualizado
- 2 oct 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 4 nov 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 42,6 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El plugin WPMobile.App – Android and iOS App Builder para WordPress es vulnerable a una omisión de autorización en todas las versiones hasta la 11.82, inclusive. Esto se debe a que el plugin no verifica correctamente que un usuario esté autorizado para realizar una acción. Esto permite que atacantes no autenticados exfiltren las URL de restablecimiento de contraseña de usuarios arbitrarios, incluidos los administradores, replicadas en la cola de notificaciones push por la función mail-to-push, y utilicen esas URL para tomar el control de las cuentas objetivo. Esta cadena de explotación requiere que la función mail-to-push del plugin (wpmobile_auto_mail=1) esté habilitada, ya que es esa configuración la que provoca que los correos salientes de restablecimiento de contraseña de WordPress —incluida la URL de restablecimiento y la clave— se repliquen en la cola de filas de notificaciones push, donde quedan accesibles para el atacante.
Fuentes
Análisis defensivo, escáner de detección y firmas de reglas para CVE-2026-94541 (WPMobile.App <= 11.82).
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.