WHIZZ: toma de cuentas mediante restablecimiento de contraseña (CVE-2026-115230)
Se reportó la vulnerabilidad CVE-2026-115230 (CVSS 9.8) en el plugin WHIZZ de WordPress. El plugin no valida la clave de restablecimiento antes de cambiar la contraseña y depende solo de un nonce expuesto a visitantes no autenticados.
Revisado en Shield: no
Quién está afectado
Sitios WordPress con el plugin WHIZZ en versión 1.1.8 o anterior. Un atacante puede establecer una contraseña arbitraria para cualquier usuario, incluidos los administradores, y tomar la cuenta.
Cómo comprobar
En el administrador de WordPress abre la página Plugins y revisa si WHIZZ está instalado y qué versión tiene. La versión 1.1.8 y anteriores están afectadas.
Cómo corregirlo
La fuente no indica una versión corregida. Si no necesitas WHIZZ, desactívalo y elimínalo. Si lo usas, está atento a una actualización e instálala en cuanto salga.
Qué comprueba Shield no se comprueba
Comprobado por Shield: no. Normalmente esto no se ve desde fuera o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
La versión corregida y los datos de explotación aún no se han divulgado. Fuente: NVD.
