Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-19798 Falta de autorización en WP Map Block para publicar, despublicar o borrar mapas

El plugin WP Map Block para WordPress es vulnerable a modificación no autorizada de datos por falta de verificación de capacidades en las funciones set_status() y bulk() del controlador REST Maps_Controller en versiones hasta la 3.0.0 inclusive. Atacantes autenticados con acceso de colaborador o superior pueden publicar, despublicar o borrar en lote cualquier post wpmb_map, incluidos mapas de administradores.

Alerta de Nureq Monitor

Detectada 16 OCT · 06:02

CVSS 3.1

4.3MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,2 % PERCENTIL 10

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-19798

El plugin WP Map Block para WordPress es vulnerable a modificación no autorizada de datos por falta de verificación de capacidades en las funciones set_status() y bulk() del controlador REST Maps_Controller en versiones hasta la 3.0.0 inclusive. Atacantes autenticados con acceso de colaborador o superior pueden publicar, despublicar o borrar en lote cualquier post wpmb_map, incluidos mapas de administradores.

Productos y versiones afectadas

  • tusharimran WP Map Block – Google Maps, OpenStreetMap, Mapbox, Store & Shop Locator, Directory, Listings & Filte

    • hasta 3.0.0

Qué hacer

  1. Verificá si usás WP Map Block – Google Maps, OpenStreetMap, Mapbox, Store & Shop Locator, Directory, Listings & Filte y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Ninguna
INTEGRIDAD (I)
Baja
DISPONIBILIDAD (A)
Ninguna

Abrir la calculadora completa

Descripción original

The Wp Map Block plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the set_status() and bulk() functions in the Maps_Controller REST controller in versions up to, and including, 3.0.0. The plugin's permission_callback (can_edit()) only verifies current_user_can('edit_posts') and performs no object-level ownership check or verification of publish-level capabilities, while the handlers pass the caller-controlled map ID directly to wp_update_post() (and wp_delete_post() in the bulk delete branch) to change post_status between publish and draft. This makes it possible for authenticated attackers, with Contributor-level access and above, to publish or unpublish (and bulk-delete) any wpmb_map post, including maps owned by administrators, which hides published maps from all public pages site-wide or forces draft maps to become publicly visible.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.