WordPress Telegram 插件未授权接管管理员账号

El plugin Bot for Telegram on WooCommerce, que integra tiendas WooCommerce con Telegram, registra un endpoint REST público (/wp-json/woo-telegram/v1/main/) sin validar que la petición provenga del servidor de Telegram. La vulnerabilidad, catalogada como CVE‑2026‑109516, afecta a todas las versiones hasta la 1.3.0 (la 1.3.1 ya la corrige) y tiene una puntuación CVSS de 9.8, considerada crítica.

El ataque se compone de cuatro fallos encadenados: (1) el endpoint acepta cualquier POST; (2) el campo chat.id del JSON se mapea directamente al nombre de usuario de WordPress, sin comprobar la titularidad; (3) el token de inicio de sesión se genera con md5(UA + time()), datos totalmente controlables por el atacante; y (4) el token se canjea inmediatamente para crear una cookie de autenticación persistente, otorgando acceso total al backend.

Se recomienda a las pymes que usan WordPress y WooCommerce: (a) verificar la versión del plugin y actualizar a 1.3.1 o superior; (b) si no se necesita la funcionalidad de Telegram, desactivar o eliminar el plugin inmediatamente; (c) habilitar autenticación de doble factor para cuentas de administrador; y (d) revisar los logs de accesos al endpoint /wp-json/woo-telegram/v1/main/ en busca de peticiones sospechosas.

Qué significa para una pyme colombiana y cucuteña: Revise hoy la versión del plugin Bot for Telegram on WooCommerce; si está en 1.3.0 o inferior, actualícelo a 1.3.1 o desactívelo de inmediato, y active la doble autenticación para los administradores.