« Volver al listado

CVE-2026-103646

Estado: AplazadaCrítica (9.8)—

El plugin de WordPress Ultimate Multisite anterior a 2.17.0 no exige autenticación antes de que un proceso de pago (checkout) sin sesión iniciada se vincule a una cuenta de WordPress existente que coincida con la dirección de correo electrónico enviada, e inicie sesión como ella, y su comprobación de cuentas duplicadas normaliza esa dirección de forma distinta a la búsqueda utilizada para crear el cliente, de modo que un atacante no autenticado puede iniciar sesión como cualquier usuario existente, incluido un Network Super Admin, cuya dirección de correo electrónico conozca.

Leer descripción completaMostrar menos

Esta omisión no la resuelve la corrección de 2.15.1 para CVE-2026-75957 y sigue siendo explotable en todas las versiones hasta la 2.16.1 incluida, las versiones que se esperaba que cubriera esa corrección. La explotación requiere un formulario de pago configurado sin campo de contraseña (contraseña generada automáticamente) y una cuenta objetivo que no tenga ningún registro de cliente existente en el plugin de WordPress Ultimate Multisite anterior a 2.17.0.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vulnerabilidad en plugin WordPress accesible sin autenticación (AV:N, PR:N, UI:N) permite acceso a cuentas existentes mediante normalización diferenciada de direcciones de email. Impacto: autenticación como usuario legítimo incluso Network Super Admin.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementNetwork SegmentationMulti-factor AuthenticationVulnerability ScanningUser Account ManagementPassword Policies

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Ultimate Multisite — Ultimate MultisiteAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-103646",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-103646",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-08T10:58:10.240709Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 9.8,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "contact@wpscan.com",
      "affectedData": [
        {
          "vendor": "Unknown",
          "product": "Ultimate Multisite",
          "versions": [
            {
              "status": "affected",
              "version": "0",
              "lessThan": "2.17.0",
              "versionType": "semver"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-08T06:16:37.957",
  "references": [
    {
      "url": "https://wpscan.com/vulnerability/a05da0ad-5d92-406f-b182-b3ed1f8389f3/",
      "source": "contact@wpscan.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
      "description": [
        {
          "lang": "en",
          "value": "CWE-287"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "The Ultimate Multisite  WordPress plugin before 2.17.0 does not require authentication before a logged-out checkout is linked to, and logged in as, an existing WordPress account matching the submitted email address, and its duplicate-account check normalizes that address differently from the lookup used to create the customer, so an unauthenticated attacker can log in as any existing user, including a Network Super Admin, whose email address they know.\nThis bypass is not addressed by the 2.15.1 fix for CVE-2026-75957 and remains exploitable in all versions up to and including 2.16.1, the releases that fix was expected to cover. Exploitation requires a checkout form configured without a password field (auto-generated password) and a target account that has no existing customer record in the Ultimate Multisite  WordPress plugin before 2.17.0."
    }
  ],
  "lastModified": "2026-10-08T20:51:18.123",
  "sourceIdentifier": "contact@wpscan.com"
}