[■] Expediente CVE-2026-89324
Hay correcciónCVE-2026-89324: autenticación incorrecta en Basel Post Types
Autenticación incorrecta en Basel Post Types, de gravedad crítica (9,8 sobre 10). Se puede atacar a distancia, sin credenciales y sin que la víctima haga nada. Hay versión corregida.
- CVSS 3.1
- 9,8
- Crítica
- Explotación
- No confirmada
- sin entrada en CISA KEV
- EPSS 30 d
- 0,7 %
- probabilidad de explotación
- Corrección
- 1.19
- la más reciente
- Publicada
- 10 nov. 2026
- sin cambios después
También conocida como 40a04176-cec2-4723-a5c6-23ca2ea6ef97
[■] Explicado
Basel Post Types permite entrar en cuentas de WordPress sin contraseña si se cumplen ciertas condiciones
Basel Post Types hasta la versión 1.18 tiene un fallo que podría permitir iniciar sesión como otra persona, incluso como administrador, sin su contraseña. Para que el ataque sea posible, WooCommerce debe estar activo y tiene que haber configurado al menos un proveedor de inicio de sesión social de Basel. Actualiza el plugin a la versión 1.19 o posterior.
Para todos
Qué es
El plugin puede comprobar mal quién está intentando iniciar sesión. Si tu web cumple las condiciones necesarias, un atacante podría hacerse pasar por una cuenta existente sin conocer su contraseña.
Qué te puede pasar
Podría acceder a la web como otra persona, incluso con una cuenta de administrador. El riesgo descrito depende de que WooCommerce esté activo y de que Basel tenga configurado al menos un proveedor de inicio de sesión social con sus credenciales de aplicación válidas.
Fuentes [S2]
Para técnicos
Cómo funciona
El fallo está en BASEL_Auth::get_config(): una llamada a defined() está escrita de forma que PHP comprueba el valor de la constante en lugar de su nombre. Según Wordfence Intelligence, esto hace que el plugin recurra a una clave fija y conocida para firmar las respuestas de Opauth. Un atacante remoto sin cuenta podría falsificar una respuesta al mecanismo de inicio de sesión social y asociarla a una dirección de correo de una cuenta existente. La condición indicada es que WooCommerce esté activo y que haya al menos un proveedor social de Basel configurado con app_id y app_secret válidos.
- Desde dónde
- Por red (Internet)
- Qué necesita
- Ninguna cuenta
- Interacción
- No hace falta que nadie haga nada
- Impacto
- El inicio de sesión fraudulento podría dar acceso a la cuenta de la persona suplantada, incluida una cuenta de administración, con capacidad para consultar o modificar datos. El vector CVSS aportado también valora como alto el impacto sobre la disponibilidad.
Explotación
Sin constancia de explotación
La ficha de Bastion Radar indica que la vulnerabilidad no figura en CISA KEV.
Fuentes [S1]
Qué hacer
- 01
Cómo saber si te afecta
Comprueba la versión de Basel Post Types: las versiones hasta la 1.18, incluida, están afectadas. Revisa también si WooCommerce está activo y si Basel tiene configurado algún inicio de sesión social con credenciales de aplicación válidas; esa combinación es una condición descrita para el ataque.
Fuentes [S2]
Preguntas frecuentes
¿Qué versiones de Basel Post Types están afectadas?
Todas hasta la 1.18, incluida. La versión corregida indicada es la 1.19.
Fuentes [S2]
¿Basta con tener instalado Basel Post Types para que puedan atacar mi web?
La información de Wordfence Intelligence señala que también deben estar activos WooCommerce y al menos un proveedor social de Basel configurado con credenciales de aplicación válidas.
Fuentes [S2]
¿Cómo se corrige CVE-2026-89324?
Actualiza Basel Post Types a la versión 1.19 o posterior.
¿Se sabe si ya se está explotando?
La ficha de Bastion Radar indica que la vulnerabilidad no figura en CISA KEV.
Fuentes [S1]
Glosario
- Opauth
- Mecanismo que procesa respuestas de proveedores de inicio de sesión social.
- Respuesta o callback
- Mensaje que un servicio devuelve a una web para continuar una operación, como un inicio de sesión.
- Clave de firma
- Una clave de firma normalmente debe mantenerse secreta para comprobar que un mensaje de autenticación es válido. En este fallo, la clave de respaldo era fija y conocida públicamente.
- CVSS
- Escala que puntúa la gravedad técnica de una vulnerabilidad.
De dónde sale cada dato
Cada afirmación lleva su llamada ([S1], [S2]…) a una de estas fuentes. No reproducimos su texto: lo hemos leído, contrastado y contado con nuestras palabras.
-
S1
Ficha de CVE-2026-89324 en Bastion Radar
Versión corregida, vector CVSS y estado de la vulnerabilidad en CISA KEV.
Bastion Radar Bastion Radar · bastionradar.com
-
S2
Aviso de seguridad de Basel Post Types
Versiones afectadas y corregida, causa técnica, condiciones necesarias y recomendación de actualizar.
Wordfence Intelligence (Defiant) Investigación · wordfence.com
Redactado por Bastion Radar con ayuda de un modelo de lenguaje a partir de los datos del radar y de las fuentes citadas, que el modelo consultó. Después se comprueba afirmación por afirmación y sólo se publica si todo cuadra. Cómo funciona.
Incluye información de vulnerabilidades de Wordfence Intelligence. Copyright Defiant Inc., bajo licencia de Defiant.
CVE® es una marca registrada de The MITRE Corporation. Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.
[A] Comprobación
¿Me afecta?
Escribe tu versión y te decimos si cae en alguno de los tramos afectados. No se guarda nada.
Versiones afectadas de Basel Post Types
1 tramo · según Wordfence Intelligence (Defiant)
- todas las anteriores hasta la 1.18 1.19
[B] Qué hacer
¿Cómo lo soluciono?
-
01
Actualiza Basel Post Types a la 1.19 o posterior.
Es la corrección más reciente que dan las fuentes.
-
02
Que no te pille la próxima.
Añade Basel Post Types a Mi stack y tendrás a mano lo que salga de lo que usas.
[C] Cronología
Qué ha pasado
-
10 nov. 2026 T0
Se publica la vulnerabilidad
según Wordfence Intelligence (Defiant)
-
10 nov. 2026 T0
Hay una versión corregida
según Wordfence Intelligence (Defiant)
[D] Trazabilidad
Fuentes
- Wordfence Intelligence (Defiant) 40a04176-cec2-4723-a5c6-23ca2ea6ef97 · consultada el 14 nov. 2026
Incluye información de vulnerabilidades de Wordfence Intelligence. Copyright Defiant Inc., bajo licencia de Defiant.
CVE® es una marca registrada de The MITRE Corporation. Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.
Datos reinterpretados por Bastion Radar a partir de las fuentes citadas. Fuentes y licencias.