Plugin Descope para WordPress: omisión de autenticación (CVE-2026-110959)
Se publicó la vulnerabilidad CVE-2026-110959 (CVSS 9.8) en el plugin Descope para WordPress. El plugin no valida el token de autenticación antes de crear una sesión de WordPress y acepta cualquier token que no esté vacío.
Revisado en Shield: no
Quién está afectado
Sitios WordPress con el plugin Descope en una versión anterior a 1.2.0. Un atacante sin autenticación puede obtener una sesión de cualquier cuenta existente, incluido un administrador, indicando su correo electrónico.
Cómo comprobar
En el panel de WordPress, abre la página Plugins y busca Descope. Si la versión instalada es inferior a 1.2.0, el sitio está afectado.
Cómo corregirlo
Hay una corrección disponible en la versión 1.2.0. Actualiza el plugin a la versión 1.2.0 o posterior.
Qué comprueba Shield no se comprueba
Comprobado por Shield: no. Normalmente esto no se ve desde fuera o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
Aún no se ha informado si la vulnerabilidad se explota en ataques reales. Fuente: la entrada de NVD para CVE-2026-110959.
