VULNERABILIDAD
CVE-2026-109934 Exposición de contenido no público en Otter Blocks vía REST API sin autenticación
El plugin Otter Blocks para WordPress, anterior a 3.2.8, no determina correctamente si una entrada es de lectura pública antes de devolver sus datos mediante un endpoint de la REST API, tratando como pública cualquier entrada con estado publicado. Esto permite a usuarios no autenticados leer extractos manuales de entradas protegidas con contraseña, el contenido y los títulos de tipos de entrada no públicos y, en sitios WooCommerce, códigos de cupón y sus descripciones. Corregido en 3.2.8.
Alerta de Nureq Monitor
Detectada 23 OCT · 04:24
CVSS 3.1
5.3MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 10
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-109934
El plugin Otter Blocks para WordPress, anterior a 3.2.8, no determina correctamente si una entrada es de lectura pública antes de devolver sus datos mediante un endpoint de la REST API, tratando como pública cualquier entrada con estado publicado. Esto permite a usuarios no autenticados leer extractos manuales de entradas protegidas con contraseña, el contenido y los títulos de tipos de entrada no públicos y, en sitios WooCommerce, códigos de cupón y sus descripciones. Corregido en 3.2.8.
Productos y versiones afectadas
Otter Blocks
Qué hacer
- Verificá si usás Otter Blocks y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Baja
- INTEGRIDAD (I)
- Ninguna
- DISPONIBILIDAD (A)
- Ninguna
Abrir la calculadora completa →
Descripción original
The Otter Blocks WordPress plugin before 3.2.8 does not correctly determine whether a post is publicly readable before returning its data through a REST API endpoint, treating any post with the published status as public, allowing unauthenticated users to read manual excerpts of password-protected posts, the content and titles of non-public post types, and, on WooCommerce sites, coupon codes and their descriptions.
Referencias
- wpscan.com/vulnerability/f634bde0-bfb0-4bf9-9c85-fb72763c5dfd/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.