Nombre del complemento	WordPress Smart Coupons para WooCommerce
Tipo de vulnerabilidad	Vulnerabilidad de Control de Acceso
Número CVE	CVE-2026-45438
Urgencia	Alto
Fecha de publicación de CVE	2026-05-17
URL de origen	CVE-2026-45438

Control de acceso roto en “Smart Coupons para WooCommerce” (< 2.3.0) — Lo que los propietarios de sitios de WordPress deben hacer ahora

Autor: Equipo de seguridad de firewall WP
Fecha: 2026-05-17

Una vulnerabilidad de control de acceso roto recientemente divulgada (CVE‑2026‑45438) afecta a las versiones de Smart Coupons para WooCommerce anteriores a 2.3.0. Este análisis profundo explica el riesgo técnico, el impacto en el mundo real, las mitigaciones inmediatas y los pasos de recuperación desde la perspectiva de un proveedor de firewall de WordPress y un equipo de seguridad.

Etiquetas: WordPress, WooCommerce, Seguridad, WAF, Vulnerabilidad, CVE-2026-45438

Nota: Este artículo está escrito por profesionales de seguridad de WordPress en WP‑Firewall. Está destinado a ayudar a los propietarios de tiendas, desarrolladores y anfitriones a comprender el riesgo y tomar medidas prácticas y seguras para proteger los sitios de comercio electrónico de WordPress. Evitamos compartir código de explotación; nuestro enfoque está en la mitigación segura, la detección y la recuperación.

Resumen ejecutivo

Se publicó una vulnerabilidad de control de acceso roto (CVE‑2026‑45438) para el plugin Smart Coupons para WooCommerce que afecta a versiones anteriores a 2.3.0. El problema proviene de la falta de verificaciones de autorización en una función del plugin, lo que permite a actores no autenticados activar operaciones que deberían requerir privilegios elevados.

Si ejecutas WooCommerce y el plugin Smart Coupons en cualquier sitio donde sea posible la creación, edición o aplicación de cupones, trata esto como una prioridad: actualiza el plugin a la versión 2.3.0 o posterior de inmediato. Si no puedes actualizar de inmediato, aplica las mitigaciones temporales a continuación, monitorea los indicadores de uso indebido y sigue los pasos de recuperación si sospechas de un incidente.

Este aviso cubre:

• Lo que significa “control de acceso roto” en este contexto
• Posibles objetivos de los atacantes e impacto en el mundo real
• Cómo detectar abusos
• Mitigaciones inmediatas y en capas (incluyendo WAF/parcheo virtual)
• Pasos de recuperación y forenses si has sido comprometido
• Mejores prácticas de endurecimiento a largo plazo para sitios de comercio electrónico de WordPress

Referencia CVE: CVE‑2026‑45438

---

Qué es el “Control de Acceso Roto” y por qué es importante

El control de acceso roto ocurre cuando la lógica de la aplicación no logra hacer cumplir quién puede hacer qué. En los plugins de WordPress, esto sucede con frecuencia cuando:

• Un endpoint REST o AJAX está expuesto sin verificar las capacidades, nonces o estado de autenticación del usuario actual.
• El código del lado del administrador es invocable desde el front-end sin las verificaciones adecuadas.
• Una verificación de permiso faltante o incorrecta permite a un usuario de menor privilegio (o no autenticado) realizar funciones administrativas.

En el caso de Smart Coupons, el problema permite que solicitudes no autenticadas lleguen a una función que realiza acciones privilegiadas. Eso significa que un atacante en internet público puede potencialmente crear, modificar o activar cupones o activar operaciones relacionadas con cupones que deberían estar limitadas a gerentes de tienda o administradores.

Por qué esto es importante para el comercio electrónico:

• Los cupones se traducen directamente en valor monetario. La creación o manipulación no autorizada de cupones puede ser utilizada para emitir grandes descuentos, crear reembolsos fraudulentos o combinarse con otros ataques para defraudar a la tienda.
• Un atacante que puede crear cupones puede confundir a los clientes, manipular flujos de inventario o activar flujos de trabajo automatizados que causen interrupciones en el negocio.
• Incluso cuando una vulnerabilidad de un plugin no proporciona acceso de administrador directamente, puede encadenarse con otras debilidades para escalar el impacto.

---

Resumen técnico (de alto nivel, no explotativo)

La vulnerabilidad surge de la falta de verificaciones de autorización en una función expuesta por el plugin Smart Coupons. En muchos casos similares, vemos uno de estos patrones:

• Una acción AJAX registrada o una ruta REST que procesa datos críticos pero carece de una verificación de capacidad adecuada (por ejemplo, current_user_can(‘manage_woocommerce’)).
• Una dependencia de datos proporcionados por el cliente (nonce o referer) sin validarlos del lado del servidor.
• Un punto final de UI de administrador que se puede llamar sin autenticación o con parámetros predecibles.

Un atacante no autenticado puede llamar a ese punto final y activar una operación normalmente restringida a administradores (por ejemplo, crear un cupón, agregar reglas de descuento ilimitadas o alternar estados de cupones). Dado que la solicitud no requiere credenciales válidas, esto se considera “control de acceso roto”.”

Intencionalmente no estamos publicando detalles sobre cómo llamar a la función vulnerable. Si eres un administrador, trata la vulnerabilidad como un riesgo accionable y toma las mitigaciones a continuación.

---

¿Quién debería preocuparse y cuán urgente es esto?

¿Quién debería actuar?

• Cualquier sitio que ejecute WooCommerce + el plugin Smart Coupons para WooCommerce con una versión < 2.3.0.
• Hosts y agencias que gestionan múltiples tiendas de clientes.
• Desarrolladores que utilizan la funcionalidad de Smart Coupons en flujos o automatizaciones personalizadas.

Urgencia:

• Alto para tiendas de comercio electrónico en vivo. Incluso si tu tráfico es bajo, los atacantes realizan escaneos masivos automatizados; un único punto final no autenticado con impacto monetario es atractivo.
• Si tu tienda no acepta cupones, o si Smart Coupons está instalado pero desactivado, la urgencia es menor, pero aún así deberías actualizar.

Nota sobre la gravedad: La calificación técnica CVSS publicada junto con la divulgación es significativa. En la práctica, el impacto en el mundo real depende de cómo esté configurado el plugin y cómo se utilicen los cupones en tu sitio. Trata esto como una prioridad para la remediación.

---

Escenarios de ataque del mundo real y posible impacto

A continuación se presentan formas realistas en las que un atacante podría aprovechar esta vulnerabilidad. Estos son escenarios de impacto comercial plausibles, no recetas de explotación.

1. Emisión no autorizada de cupones
   • El atacante crea cupones con descuentos de alto porcentaje o descuentos de valor fijo.
   • Los cupones se distribuyen a cuentas coludidas o se utilizan con el pago como invitado para comprar artículos de alto valor a bajo precio.
2. Pérdida de ingresos y reembolsos fraudulentos
   • Los cupones se aplican a compras legítimas, luego el atacante activa reembolsos utilizando otros canales comprometidos o manipulados socialmente.
   • El abuso puede aumentar los contracargos y las tarifas del comerciante.
3. Manipulación de campañas/marketing
   • Los cupones destinados a una campaña de marketing específica podrían ser mal utilizados, causando confusión entre los clientes y daño a la marca.
4. Abuso de automatización/workflow
   • La creación de cupones puede activar flujos de trabajo de cumplimiento (por ejemplo, generación automática de etiquetas de envío), lo que podría causar fricción logística y costos.
5. Escalación lateral (menos común, pero posible)
   • Si otro código de plugin acepta entradas relacionadas con cupones que son de confianza, un atacante podría crear entradas para causar un comportamiento inesperado en otros lugares.

Si bien no todos los sitios se verán afectados por igual, todas las tiendas de WooCommerce que utilicen versiones de plugins afectados deben remediar de inmediato.

---

Detección: qué buscar en los registros y en su tienda

Si no puede aplicar un parche de inmediato o desea verificar si fue objetivo anteriormente, busque estos indicadores:

Señales a nivel de aplicación y plugin

• Cupones inesperados: nuevos códigos de cupones que no creó, especialmente con tasas de descuento inusuales o uso ilimitado.
• Metadatos del cupón: marcas de tiempo de creación sospechosas, creadores establecidos en 0 (anónimo) o un ID de usuario inesperado.
• Aumento en el canje de cupones / picos inusuales en el uso de descuentos.
• Nuevos cupones vinculados a direcciones de correo electrónico o patrones desconocidos.

Indicadores de HTTP/WAF/Access-log

• Solicitudes POST no autenticadas repetidas a admin-ajax.php, puntos finales REST o puntos finales específicos de plugins—especialmente aquellos que contienen parámetros como montos de cupones o nombres de acciones.
• Alto volumen de solicitudes con cargas útiles similares desde IPs únicas o conjuntos de IPs distribuidos (indicando intentos de escaneo o explotación).
• Solicitudes con encabezados nonce faltantes o inválidos donde su plugin normalmente los requiere.

WooCommerce/pedidos

• Pedidos que muestran descuentos anormales aplicados.
• Reembolsos o cancelaciones activados poco después de pedidos que contienen uso de cupones.

Monitoreo del lado del servidor

• Errores o advertencias PHP sospechosos en el registro de errores durante las operaciones de cupones.
• Nuevos archivos o archivos modificados alrededor de los directorios del plugin (posible indicador de intento de persistencia).

Si encuentra evidencia de creación no autorizada de cupones o solicitudes sospechosas, asuma abuso y siga los pasos de recuperación más adelante en este artículo.

---

Remediación inmediata (paso a paso)

1. Actualice el plugin (preferido, más simple y más seguro)
   • Haga una copia de seguridad de su sitio (archivos + base de datos).
   • Ponga la tienda en modo de mantenimiento si espera interrupción del cliente.
   • Actualice Smart Coupons a la versión 2.3.0 o posterior a través de la pantalla de plugins de administración de WordPress o a través de su proceso normal de actualización gestionada.
   • Pruebe la creación de cupones y el proceso de pago en un entorno de pruebas cuando sea posible, luego pruebe en producción con un solo cupón de bajo riesgo.
   • Monitoree los registros y pedidos después de la actualización en busca de anomalías.
2. Si no puede actualizar de inmediato—aplique mitigaciones temporales.
   • Desactiva el plugin hasta que puedas actualizar. Esto elimina la funcionalidad de cupones pero detiene el vector de ataque inmediato.
   • Usa tu firewall para bloquear o limitar el acceso a los puntos finales expuestos del plugin (ver recomendaciones de WAF a continuación).
   • Restringe el acceso a wp-admin y a los manejadores de administración del plugin por IP (solo factible para equipos pequeños con IPs estáticas).
   • Desactiva las interfaces de creación de cupones donde sea posible (si Smart Coupons agrega formularios en el front-end, desactívalos o escóndelos).
   • Agrega autenticación HTTP (.htpasswd) a wp-admin o a rutas específicas del plugin como una barrera temporal (nota: ten cuidado de no bloquearte a ti mismo y prueba primero en staging).
3. Si sospechas abuso activo, aísla y escala.
   • Pon el sitio en modo de mantenimiento o desactiva temporalmente el proceso de compra para prevenir más compras fraudulentas.
   • Cambia las contraseñas administrativas e invalida las sesiones (ver sección de recuperación).
   • Contacta a tu procesador de pagos y proveedor de hosting si se sospecha fraude financiero.

---

Recomendaciones de WAF y parches virtuales (para usuarios de WP‑Firewall y otros WAFs gestionados).

Un firewall puede proporcionar mitigación rápida mientras pruebas y despliegas actualizaciones del plugin. A continuación se presentan conceptos de reglas seguras y no explotativas que puedes aplicar como parches virtuales:

1. Bloquea llamadas no autenticadas a puntos finales relacionados con cupones.
   • Detecta solicitudes con parámetros típicamente utilizados para la creación de cupones (por ejemplo, código de cupón, monto de descuento) provenientes de contextos no autenticados.
   • Bloquea o devuelve 403 para tales solicitudes desde IPs públicas a menos que incluyan un nonce o cookie de sesión válida y esperada.
2. Limita la tasa y los intentos de escaneo de huellas digitales.
   • Reduce las solicitudes POST o GET repetidas a los puntos finales del plugin.
   • Bloquea IPs con altas tasas de solicitudes o comportamiento abusivo conocido.
3. Requiere una cookie de sesión de WordPress válida para puntos finales administrativos sensibles.
   • Si un punto final solo debe ser accesible desde sesiones administrativas, aplica la presencia de cookies de autenticación de WordPress o un encabezado de autorización.
4. Bloquea agentes de usuario de escaneo comunes o IPs malas conocidas.
   • Utilice firmas de comportamiento y listas de reputación para denegar el tráfico obvio de escaneo masivo.
5. Monitoree y alerte sobre nuevos patrones de creación de cupones.
   • Cree una alerta cuando se creen cupones con descuentos por encima de un umbral, con uso ilimitado o con fechas de caducidad sospechosas.

Ejemplo (pseudo-lógica) — no despliegue textualmente sin pruebas:
– Si la ruta de solicitud contiene el controlador de cupones del plugin Y el método de solicitud es POST Y la solicitud no contiene una cookie de autenticación de WordPress válida o nonce:
  – Bloquee la solicitud y registre el evento con todos los encabezados y el cuerpo (para revisión forense).

WP-Firewall puede implementar parches virtuales gestionados y conjuntos de reglas personalizadas para proteger los puntos finales afectados mientras coordina las actualizaciones. El plan gratuito incluye capacidades de WAF que se pueden configurar para implementar los tipos de reglas de alta prioridad descritos anteriormente.

---

Mitigaciones a nivel de código seguras y prácticas (guía para desarrolladores)

Si usted es un desarrollador cómodo ajustando el comportamiento del plugin, puede agregar verificaciones temporales del lado del servidor que rechacen llamadas no autenticadas. Dos estrategias seguras:

1. Rechazar solicitudes que no provengan de administradores autenticados.
   • Enganche temprano y verifique current_user_can(‘manage_woocommerce’) o una capacidad similar.
   • Si la verificación falla, devuelva un código de error HTTP seguro (403) y un mensaje mínimo.
2. Valide nonces donde el plugin debería estar usándolos.
   • Verifique que las solicitudes entrantes al punto final incluyan un nonce de WordPress válido y verifique a través de wp_verify_nonce(). Si es inválido, rechace.

Importante:

• Haga ediciones como un envoltorio temporal en lugar de cambiar la lógica central del plugin: use mu-plugins o un pequeño plugin personalizado para que las futuras actualizaciones del plugin no eliminen su cambio. O use reglas del servidor para minimizar los cambios en el código.
• No publique ni almacene cargas útiles de explotación. Un parche bien intencionado no debe introducir vulnerabilidades adicionales.

Si tiene dudas, la acción más segura es desactivar el plugin hasta que se instale la versión oficial.

---

Cómo actualizar de forma segura — lista de verificación para propietarios de tiendas.

1. Haga una copia de seguridad de todo: archivos y base de datos.
2. Pruebe la actualización del plugin en un entorno de pruebas si tiene un entorno de pruebas.
3. Ponga el sitio en modo de mantenimiento si espera interrupciones (opcional).
4. Actualice el plugin Smart Coupons a 2.3.0 o posterior.
5. Limpia las cachés (caché de objetos, caché de página, CDN).
6. Pruebe los flujos de trabajo de pago y cupones:
   • Cree un cupón de prueba, aplíquelo en el pago y complete un pedido en el sandbox.
7. Monitoree los registros y nuevos pedidos durante 24–72 horas.
8. Vuelva a habilitar cualquier integración deshabilitada temporalmente solo después de verificar el comportamiento.

Si administra muchos sitios, priorice las tiendas de alto ingreso y alto tráfico, luego implemente actualizaciones en su cartera.

---

Si fue (o podría haber sido) explotado — pasos de respuesta a incidentes

Contención y evaluación

• Desactive temporalmente la funcionalidad de cupones o el plugin de cupones inteligentes.
• Ponga la tienda en modo de mantenimiento (si es necesario para prevenir más fraudes).
• Preserve los registros: registros de acceso del servidor web, registros de la aplicación y cualquier registro de WAF.
• Realice una copia de seguridad completa del estado actual para análisis forense (no sobrescriba copias de seguridad anteriores).

Erradicación y remediación

• Revocar o eliminar cupones no autorizados.
• Revise los pedidos e identifique transacciones fraudulentas; comuníquese con su procesador de pagos y banco para detener más liquidaciones cuando sea posible.
• Restablezca las contraseñas de administrador y fuerce el cierre de sesión para todos los usuarios: actualice las sales, restablezca las claves si es necesario.
• Escanee en busca de puertas traseras u otro malware utilizando un escáner de buena reputación y revisión manual.

Recuperación

• Restaure desde una copia de seguridad limpia si detecta manipulación de archivos o un webshell. Si la restauración no es posible, reconstruya en una instancia limpia y migre el contenido.
• Reintroduzca los servicios gradualmente con monitoreo en su lugar.

Post-incidente

• Notifique a las partes afectadas cuando lo exija la ley o la política (clientes, socios).
• Realice un post-mortem: cómo ocurrió el incidente, cómo prevenir su recurrencia.
• Aplique la actualización del plugin a todos los sitios y elimine las protecciones temporales cuando sea seguro.

Si necesita ayuda profesional, contrate a un proveedor de respuesta a incidentes con experiencia en WordPress y WooCommerce para una investigación más profunda.

---

Endurecimiento a largo plazo para tiendas WooCommerce

Las siguientes prácticas reducen el riesgo en toda la pila de comercio electrónico de WordPress:

1. Principio de mínimo privilegio
   • Solo otorgue gestionar_woocommerce o administrador roles a los usuarios que realmente lo necesiten.
   • Utilice auditorías de roles y capacidades regularmente.
2. Asegurar el acceso de administrador
   • Restringa wp-admin por IP donde sea posible, o requiera VPN/2FA para usuarios administradores.
   • Haga cumplir políticas de contraseñas fuertes y habilite la autenticación multifactor (MFA).
3. Puesta en escena y pruebas
   • Prueba las actualizaciones de plugins en un entorno de staging antes de aplicarlas en producción.
   • Automatice las copias de seguridad antes de la actualización.
4. Inventario y higiene de plugins
   • Mantenga un inventario de los plugins instalados y sus versiones.
   • Elimine rápidamente los plugins y temas no utilizados.
5. Visibilidad y monitoreo
   • Implemente monitoreo de aplicaciones y registros (cambios en cupones, pedidos, creaciones de usuarios).
   • Monitoree las alertas de WAF y del host y configure alertas accionables para patrones sospechosos de cupones.
6. Controles de seguridad gestionados
   • Utilice un enfoque por capas: endurecimiento del host, WAF, monitoreo de integridad de archivos, escaneos regulares.
   • Utilice parches virtuales cuando no sea posible realizar actualizaciones inmediatas de plugins.
7. Riesgo de proveedores y terceros
   • Evaluar plugins: frecuencia de actualizaciones, instalaciones activas, capacidad de respuesta de seguridad.
   • Utilizar mercados reputables y revisar los registros de cambios y notas de lanzamiento para correcciones de seguridad.

---

Ejemplo de reglas de detección WAF (conceptual)

A continuación se presentan firmas conceptuales no ejecutables que los equipos de seguridad pueden traducir en reglas de firewall. Están intencionadamente abstractas para evitar publicar un exploit:

• Regla: Bloquear POSTs a puntos finales de cupones sin autenticación
  • Condición: HTTP POST a ruta que coincide con el patrón de punto final de cupones Y sin cookie de sesión WP válida Y el cuerpo de la solicitud contiene parámetros de cupón (por ejemplo, monto de descuento, código_cupón).
  • Acción: Bloquear y registrar.
• Regla: Alertar sobre cupones ilimitados de alto valor
  • Condición: Creación de cupón donde descuento > 50% O límite_de_uso == 0 O fecha_de_expiración en un futuro lejano.
  • Acción: Generar alerta de alta prioridad para revisión.
• Regla: Limitar el comportamiento sospechoso del cliente
  • Condición: Más de N solicitudes POST a puntos finales de plugins desde la misma IP en T segundos.
  • Acción: Limitar la tasa o bloquear.

Traduce esto a tu motor de firewall y prueba en modo seguro antes de la aplicación completa. Pueden ocurrir falsos positivos en la automatización de marketing legítima; se requiere ajuste.

---

Preguntas frecuentes

P: Tengo Smart Coupons instalado pero no uso cupones en mi sitio — ¿debo actuar aún?
A: Sí. Si el plugin está instalado y sus puntos finales son accesibles, la vulnerabilidad puede ser invocada incluso si tu tienda no emite cupones activamente. La opción más segura es actualizar o desactivar el plugin.

P: Ya actualicé — ¿necesito alguna acción adicional?
A: Después de actualizar a 2.3.0+, verifica que la actualización se haya aplicado correctamente, limpia cachés y monitorea tus registros en busca de actividad sospechosa alrededor del momento de la divulgación y la actualización. Si detectaste cupones sospechosos antes de actualizar, sigue los pasos de respuesta a incidentes.

P: ¿Puede un firewall (WAF) reemplazar completamente la actualización del plugin?
A: Un WAF puede proporcionar mitigación rápida (parcheo virtual) pero no es un reemplazo para aplicar la actualización de seguridad oficial. Usa el WAF para ganar tiempo y reducir la exposición, pero planea actualizar el plugin tan pronto como sea posible.

---

Unas palabras simples de nuestro equipo

Reconocemos que los propietarios de tiendas están equilibrando inventario, marketing y servicio al cliente; la seguridad a veces se desliza hacia abajo en la lista de prioridades. Sin embargo, las vulnerabilidades que afectan los flujos transaccionales (como los cupones) deben ser priorizadas porque afectan inmediatamente su resultado final y la confianza del cliente.

Si ejecuta actualizaciones en muchos sitios, elabore un plan de actualización: etapa, prueba, parche y monitoreo. Si necesita ayuda para automatizar actualizaciones o crear parches virtuales seguros, considere utilizar servicios gestionados que integren un firewall de aplicaciones web y monitoreo para que no tenga que clasificar manualmente cada alerta.

---

Por qué WP‑Firewall puede ayudarle ahora mismo

Título: Proteja su tienda rápidamente con una capa de firewall sin costo y escaneo esencial

Ejecutar un sitio de comerciante con múltiples complementos e integraciones es un acto de malabarismo. Si necesita una capa de protección inmediata mientras coordina actualizaciones, el plan Básico gratuito de WP‑Firewall proporciona protección esencial que ayuda a reducir la exposición sin cambiar la configuración de su tienda.

Lo que incluye el plan Básico (gratuito):

• Firewall gestionado y reglas WAF adaptadas a patrones de ataque comunes de WordPress y WooCommerce
• Ancho de banda ilimitado para que la protección escale con el tráfico
• Escáner de malware para detectar archivos e indicadores sospechosos
• Cobertura de mitigación para ataques de la clase OWASP Top 10

Si desea pasar a la remediación automatizada y un mayor control, los planes de pago añaden eliminación automática de malware, listas de permitidos/denegados de IP, parches virtuales, informes mensuales y más. Comience con el plan gratuito para obtener protección básica y un camino claro hacia controles más fuertes.

Regístrate para el plan gratuito ahora

---

Lista de verificación final: qué hacer en las próximas 24–72 horas

1. Confirme la versión del complemento en todos los sitios. Si < 2.3.0, priorice la acción.
2. Si es posible, actualice Smart Coupons a 2.3.0 o posterior de inmediato (haga una copia de seguridad primero).
3. Si no puede actualizar esta hora:
   • Desactiva el plugin O
   • Habilite reglas WAF temporales para bloquear el acceso no autenticado al endpoint de cupones.
4. Inspeccione cupones sospechosos y pedidos relevantes.
5. Restablezca las credenciales de administrador si ve evidencia de uso indebido.
6. Establezca monitoreo y alertas para detectar la creación sospechosa de cupones o descuentos inusuales.
7. Si necesita asistencia con parches virtuales o detección de intentos de explotación, considere aprovechar los servicios WAF gestionados.

---

Apéndice: referencia rápida

• Complemento afectado: Smart Coupons para WooCommerce
• Versiones vulnerables: < 2.3.0
• Versión parcheada: 2.3.0 (actualización recomendada)
• CVE: CVE‑2026‑45438
• Riesgo principal: Control de acceso roto → creación/modificación de cupones no autorizados (no autenticado)
• Acción inmediata recomendada: Actualizar a 2.3.0. Si no es posible, desactivar el plugin o aplicar protección WAF.

---

Si desea ayuda para clasificar esto en su cartera (un sitio o muchos), nuestro equipo de WP‑Firewall proporciona creación de reglas gestionadas y remediación guiada. Creamos parches virtuales para reducir la exposición de inmediato y ayudarle a planificar actualizaciones con la mínima interrupción del negocio.

Manténgase seguro y actúe rápidamente: las vulnerabilidades en plugins relacionados con el comercio exigen atención inmediata.