Me complace compartir la asignación de un nuevo identificador de vulnerabilidad: CVE-2026-14216. 🔐 En esta ocasión la vulnerabilidad fue identificada durante una investigación de seguridad sobre el plugin de WordPress Booking for Appointments and Events Calendar (Amelia) y afecta a versiones anteriores a la 2.4.7. El fallo se localiza en el mecanismo encargado de procesar la cola de notificaciones pendientes. La ausencia de controles de autenticación adecuados permite que un atacante no autenticado pueda activar de forma remota el procesamiento y envío de las notificaciones almacenadas en dicha cola. Como consecuencia, un atacante podría provocar el envío de notificaciones pendientes y callbacks asociados a integraciones externas sin necesidad de disponer de una cuenta válida en WordPress. Este comportamiento podría derivar en la ejecución de acciones no previstas por la aplicación, así como en el abuso de los mecanismos de integración configurados por el administrador. La asignación de CVE-2026-14216 es el resultado de un proceso de investigación, análisis, validación y documentación técnica orientado a identificar vulnerabilidades con impacto real y contribuir a mejorar la seguridad de los productos utilizados por la comunidad. Mi agradecimiento a WPScan por la coordinación y gestión responsable de la vulnerabilidad. Seguimos investigando, documentando y contribuyendo a fortalecer la seguridad del ecosistema WordPress. 🚀 #CVE #CVE202614216 #Cybersecurity #Ciberseguridad #VulnerabilityResearch #WordPressSecurity #ApplicationSecurity #EthicalHacking #SecurityResearch
Post summary
The post announces CVE‑2026‑14216 as a newly disclosed vulnerability in Amelia, detailing the technical flaw without providing PoC, exploits, or patches.