CVE-2026-109930 Exposición de datos de análisis de rastreo en MAIO anterior a 7.3.22 por clave API codificada
El plugin MAIO para WordPress anterior a 7.3.22 no restringe adecuadamente el acceso a sus datos de análisis y trata un valor de credencial incluido en su propio código público como clave API válida. Esto permite a atacantes no autenticados obtener el registro de análisis de rastreo almacenado, incluida la dirección IP, el user agent y el referer de cada visitante registrado.
CVSS 3.1
- Probabilidad de explotación0,2 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
MAIO
hasta antes de 7.3.22
Qué hacer
- Verificá si usás MAIO y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
The MAIO WordPress plugin before 7.3.22 does not properly restrict access to its analytics data, treating a credential value shipped verbatim in its own public source as a valid API key, which allows unauthenticated attackers to retrieve the stored crawl-analytics log, including each recorded visitor's IP address, user agent and referer.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.