WP Go Maps (formerly WP Google Maps) <= 10.0.04 - Missing Authorization to Authenticated (Subscriber+) Map Engine Setting Modification

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo medio en el plugin WP Go Maps, que permite la modificación de la configuración del motor de mapas para usuarios autenticados con rol de suscriptor o superior. Esta vulnerabilidad afecta a las versiones anteriores a la 10.0.05.

Contexto técnico

El fallo radica en la falta de autorización adecuada para la modificación de ciertos ajustes del motor de mapas, lo que permite a usuarios no autorizados realizar cambios en la configuración del plugin. Esto se traduce en una superficie de ataque que puede ser explotada por usuarios con permisos limitados.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad de los datos del mapa y permitir a los atacantes realizar cambios no autorizados, lo que podría afectar la experiencia del usuario y la confianza en la plataforma. Además, podría abrir la puerta a ataques más sofisticados si se combinan con otras vulnerabilidades.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante el acceso al panel de administración del plugin por parte de un usuario autenticado con rol de suscriptor o superior, quien puede modificar configuraciones sin la autorización adecuada.

Mitigación recomendada

Actualizar el plugin WP Go Maps a la versión 10.0.05 o superior para mitigar esta vulnerabilidad. Además, se recomienda revisar los permisos de los usuarios y aplicar controles de acceso más estrictos.

Señales de detección

Señales de posible explotación incluyen cambios no autorizados en la configuración del mapa, así como intentos de acceso al panel de administración por parte de usuarios con roles inusuales o sin permisos adecuados.

Alcance afectado

Las versiones del plugin WP Go Maps anteriores a la 10.0.05 están afectadas, lo que incluye todas las instalaciones que no han sido actualizadas desde la publicación de la vulnerabilidad el 24 de enero de 2026.