CVE-2026-116613 Exposición de información en Animated Text Block por falta de autorización
El plugin Animated Text Block para WordPress, en versiones hasta la 1.2.6 inclusive, expone información sensible mediante el shortcode 'animated-text'. La función atb_shortcode_handler() obtiene un post arbitrario por ID sin control de capacidad ni validación del post_type, lo que permite a atacantes autenticados con nivel Contributor o superior leer el contenido renderizado de cualquier post publicado, incluidos tipos de contenido no públicos.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 20
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
bplugins Animated Text Block – Add Typing and Looping Text Effects
hasta 1.2.6
Qué hacer
- Verificá si usás Animated Text Block – Add Typing and Looping Text Effects y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.5 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
The Animated Text Block plugin for WordPress is vulnerable to Sensitive Information Exposure in versions up to, and including, 1.2.6 via the 'animated-text' shortcode. This is due to the atb_shortcode_handler() function fetching an arbitrary post by attacker-supplied ID and, in the 'publish' branch, calling displayContent() with no capability check and no validation that the post's post_type is the plugin's own CPT or is otherwise viewable (is_post_type_viewable()). This makes it possible for authenticated attackers, with Contributor-level access and above, to read the rendered block content of any published post, including posts of non-public custom post types (public=false, show_in_rest=false) that WordPress would otherwise hide from direct URLs and the REST API.
Referencias (5)
- www.wordfence.com/threat-intel/vulnerabilities/id/7163be31-8f55-45ba-8364-e84a3e636d5b?so…
- plugins.trac.wordpress.org/browser/animated-text-block/tags/1.2.6/plugin.php#L142
- plugins.trac.wordpress.org/browser/animated-text-block/tags/1.2.6/plugin.php#L132
- plugins.trac.wordpress.org/browser/animated-text-block/tags/1.2.6/plugin.php#L163
- plugins.trac.wordpress.org/changeset?reponame=&old=3767751%40animated-text-block&new=3767…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.