Comprobador de User Registration de WordPress para CVE-2026-1492

Comprobador de solo lectura para sitios de WordPress propios que pueden estar afectados por CVE-2026-1492 en el plugin User Registration & Membership.

Ayuda al propietario del sitio a confirmar la exposición del plugin y a buscar indicadores de compromiso como cuentas de administrador ocultas, subidas sospechosas, entradas cron y archivos manipulados.

Empieza aquí

Necesidad	Enlace
Explorar la página de la herramienta	https://limo57640-crypto.github.io/wp-user-registration-vuln-checker/
Leer la guía de autocomprobación de Ping7	https://ping7.cc/cve/wordpress-1492/
Comparar con otras herramientas de Ping7 en GitHub	https://ping7.cc/github-tools/
Enviar salida sospechosa para reparación	https://ping7.cc/cve-repair/

Recursos de Ping7

• Todas las herramientas de GitHub: https://ping7.cc/github-tools/
• Guía completa de autocomprobación: https://ping7.cc/cve/wordpress-1492/
• Servicio de reparación de CVE: https://ping7.cc/cve-repair/
• Informe de reparación de ejemplo: https://ping7.cc/cve-repair/sample-report/
• Alertas de CVE en vivo: https://t.me/ping7cve

Incidencia o reparación

Abre una incidencia en GitHub cuando el comprobador falle, dé un resultado poco claro, marque un falso positivo o necesite una limpieza de la documentación. Mantén el ejemplo sin información sensible.

Usa la reparación de Ping7 cuando el resultado sea SUSPICIOUS o COMPROMISED, o cuando la evidencia incluya dominios activos, datos de clientes, registros privados, nombres de usuario de administrador, nombres de archivos subidos o detalles de base de datos que no deberían publicarse.

Evidencias a conservar

• Salida del comprobador y versión.
• Ruta de WordPress, tipo de hosting y versión del plugin.
• Primera marca de tiempo sospechosa.
• Nombres de cuentas de administrador desconocidas, anonimizados si es necesario.
• Nombres de archivos PHP subidos, entradas cron, redirecciones o archivos de tema modificados.
• Si los registros de acceso y las copias de seguridad de la base de datos siguen disponibles.

Cuándo usar este repositorio

• Operas el sitio de WordPress o tienes aprobación explícita para revisarlo.
• El plugin User Registration estaba presente durante la ventana de parcheo.
• Apareció una nueva cuenta de administrador, archivo PHP subido, entrada cron o redirección sin un responsable claro.
• Necesitas un resultado de terminal que se pueda pegar en un ticket de reparación.
• Quieres una primera revisión antes de pagar por una limpieza o un análisis de compromiso.

Inicio rápido

Ejecuta desde el directorio raíz de WordPress, donde existe wp-config.php:

curl -fsSLO https://raw.githubusercontent.com/limo57640-crypto/wp-user-registration-vuln-checker/main/check.sh
less check.sh
bash check.sh

O pasa la ruta de WordPress:

bash check.sh /home/example/public_html

Qué comprueba

Área	Señal
Núcleo de WordPress	Versión del núcleo instalada
Exposición del plugin	Versión y presencia del plugin User Registration
Cuentas de administrador	Administradores visibles y creación reciente de administradores
Administradores ocultos	Discrepancias de rol/capacidad en wp_usermeta
Subidas	Archivos PHP en wp-content/uploads/
Configuración y tema	Patrones PHP ofuscados en archivos críticos
Cron	Tareas programadas sospechosas
Carpetas del núcleo	Archivos inesperados en wp-includes

Salida

• CLEAN: no se encontraron indicadores evidentes.
• SUSPICIOUS: requiere revisión manual.
• COMPROMISED: se encontraron indicadores sólidos de compromiso.
• ERROR: el script no pudo completarse.

Salida de ejemplo

WordPress User Registration CVE-2026-1492 Checker

Checks run:     12
Suspicious:     1
Compromised:    0

STATUS: SUSPICIOUS - INVESTIGATE FURTHER
Some checks need manual review.
Guide: https://ping7.cc/cve/wordpress-1492

Códigos de salida

Código	Significado
0	Resultado limpio
1	Hallazgo sospechoso, se necesita revisión manual
2	Indicador sólido de compromiso encontrado
3	Error en tiempo de ejecución o no se encontró la raíz de WordPress

Limitaciones

• No sustituye a una respuesta integral ante incidentes de WordPress.
• Solo puede leer los archivos y el estado de la base de datos disponibles para el usuario actual.
• Registros eliminados, acceso a shell deshabilitado o restricciones de hosting gestionado pueden ocultar evidencias útiles.
• Un resultado limpio no demuestra que el sitio nunca fue atacado.

Transferencia para reparación

Si el resultado es SUSPICIOUS o COMPROMISED, conserva la salida y envía:

Domain:
WordPress path or host type:
CVE: CVE-2026-1492
Plugin version:
Detector result: CLEAN / SUSPICIOUS / COMPROMISED / ERROR
Symptoms: unknown admin, upload PHP file, redirect, cron, changed theme file, or scanner result
Logs still available: yes / no

No envíes contraseñas en el primer mensaje. Envía síntomas, marcas de tiempo, capturas de pantalla y fragmentos de registros anonimizados.

Qué hacer si encuentra algo

1. No borres archivos inmediatamente. Primero conserva las evidencias.
2. Haz una copia de seguridad o una instantánea del proveedor.
3. Aplica los parches al plugin y a la pila de WordPress.
4. Elimina las cuentas de administrador no autorizadas tras conservar los detalles.
5. Revisa subidas, cron, archivos de tema y registros de acceso.

¿Necesitas ayuda con la reparación?: https://ping7.cc/cve-repair

Contribuciones

Abre una incidencia para un falso positivo, una señal defensiva no detectada o un entorno de hosting que el comprobador gestione mal. Incluye la versión del plugin, la versión de WordPress, el tipo de hosting y una salida anonimizada. No publiques contraseñas, claves de API, datos de clientes ni cadenas de ataque reales.

Alcance defensivo

Este comprobador es únicamente para sitios de WordPress propios o aprobados por el cliente. No explota la vulnerabilidad ni modifica archivos.

Sin payloads. Sin escaneos masivos. Sin pasos de explotación.

Licencia

MIT