CVE-2026-111958 Evasión de autenticación en Royal MCP mediante token de enlace de vista previa

Qué es CVE-2026-111958

El plugin Royal MCP de WordPress anterior a 1.5.7 no limita un token de enlace de vista previa a la única vista previa para la que fue emitido, por lo que cualquier parte que obtenga un token válido queda autenticada como el usuario propietario del token, un administrador en la configuración predeterminada, en toda la API REST sin nonce, lo que lleva a la toma total del sitio.

Productos y versiones afectadas

• Royal MCP

  • hasta antes de 1.5.7

Qué hacer

1. Verificá si usás Royal MCP y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

The Royal MCP WordPress plugin before 1.5.7 does not limit a preview-link token to the single preview it was issued for, so any party that obtains a valid token is authenticated as the token's owning user, an administrator in the default configuration, across the entire REST API with no nonce, leading to full site takeover.

Referencias

• wpscan.com/vulnerability/014f061c-54f3-491e-b4a0-85cfa6fb178b/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 22 OCT · 04:09VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.