Vulnerabilidad crítica en Bot for Telegram on WooCommerce hasta 1.3.0

Qué es y a quién afectaEl plugin Bot for Telegram on WooCommerce para WordPress, en todas las versiones hasta la 1.3.0 inclusive, arrastra un fallo de...

Qué es y a quién afecta

El plugin Bot for Telegram on WooCommerce para WordPress, en todas las versiones hasta la 1.3.0 inclusive, arrastra un fallo de omisión de autenticación (CWE-287) que permite a un atacante sin credenciales hacerse con el control de cualquier cuenta de WordPress, incluida la de administrador. El identificador es CVE-2026-109516 y la gravedad registrada en la NVD del NIST es CVSS 3.1 de 9.8 (CRITICAL), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. La fecha de publicación en NVD es el 29 de octubre de 2026.

El problema está en cómo el plugin expone su punto de entrada REST: el endpoint /wp-json/woo-telegram/v1/main/ se registra sin comprobación de permisos y sin validar la firma del webhook de Telegram. Esa combinación permite enviar una actualización de bot falsificada. A partir de ahí, el plugin resuelve el valor recibido como si fuera un nombre de usuario de WordPress y genera un token de acceso calculado con datos que el atacante controla o puede acotar en segundos. Ese token se canjea en un endpoint sin autenticación, sin comprobación de capacidades y sin nonce, que emite una cookie de sesión válida y persistente para la cuenta objetivo.

Afecta a cualquier instalación de WordPress con WooCommerce que tenga este plugin activo, en especial a pymes, comercios online y tiendas con equipo de IT reducido en España y Cataluña (Barcelona, Lleida, Tarragona, Girona) que usan Telegram como canal de avisos de pedidos. Basta con conocer el nombre de usuario de una cuenta con privilegios para intentar el asalto.

Por qué es urgente

Conviene precisar el estado real: según los datos disponibles, este CVE no consta en el catálogo KEV de CISA, es decir, no hay constancia pública de que se esté explotando en ataques reales. Eso no lo hace inofensivo. Un 9.8 con vector de red, sin privilegios previos y sin interacción del usuario es el escenario que cualquier actor oportunista busca: no requiere ingeniería social ni acceso previo, solo una petición bien construida contra un endpoint público.

Además, el impacto no se limita al plugin. Una sesión de administrador en WordPress abre la puerta a instalar extensiones maliciosas, alterar precios y pedidos de WooCommerce, leer datos de clientes y comprometer el cumplimiento del RGPD y la LOPDGDD si se produce una brecha. En un comercio electrónico, el coste de una cuenta tomada se mide en pedidos manipulados, clientes afectados y reputación.

Qué hacer hoy

Comprueba si el plugin está instalado y en qué versión. Revisa el listado de plugins del sitio o el gestor de extensiones; si la versión es 1.3.0 o anterior, estás dentro del rango afectado.
Actualiza o mitiga según el aviso del fabricante. Los datos consultados no indican qué versión corrige el fallo, así que aplica la actualización que indique el aviso oficial del desarrollador del plugin. Si aún no hay versión corregida, valora desactivar el plugin de forma temporal hasta que exista.
Revisa indicios de intrusión. Busca cuentas de administrador o usuarios nuevos que no reconozcas, sesiones activas extrañas, cambios en plugins y temas, y peticiones anómalas al endpoint del plugin en los registros del servidor.
Reduce lo expuesto a internet. Restringe el acceso a la API REST de WordPress a lo imprescindible, limita los intentos de acceso, revisa los nombres de usuario visibles y aplica hardening básico en el servidor web.
Rota credenciales y secretos si detectas cualquier señal de acceso no autorizado, y conserva los registros para el análisis forense.

Un detalle importante: el fallo no depende de una contraseña débil, sino del diseño del propio plugin. Cambiar contraseñas no cierra la puerta; actualizar o desactivar el componente, sí.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes y tiendas online que no pueden dedicar un departamento entero a vigilar su WordPress. Nuestro enfoque encaja con este tipo de casos: auditorías de seguridad y pentesting para localizar vulnerabilidades como esta antes de que alguien las aproveche, hardening de servidores para recortar la superficie expuesta, monitorización y respuesta a incidentes para detectar accesos anómalos a tiempo, y mantenimiento y actualización continuos de WordPress, PrestaShop y Joomla. Si el sitio ya ha sido comprometido, también nos ocupamos de la reparación de webs hackeadas y de dejar el entorno limpio y documentado. Para un comercio con WooCommerce, la diferencia entre enterarse por un aviso y enterarse por una reclamación de clientes está en tener a alguien revisando y parcheando de forma constante.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.

Resultados sin salir de la página.