Accordion and Accordion Slider <= 1.4.5 - Missing Authorization to Authenticated (Contributor+) Attachment Metadata Modification

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo medio en el plugin 'Accordion and Accordion Slider' en versiones hasta la 1.4.5, que permite la modificación no autorizada de metadatos de adjuntos por usuarios autenticados con rol de contribuidor o superior. Esta falla fue publicada el 13 de febrero de 2026.

Contexto técnico

La vulnerabilidad se origina por la falta de autorización adecuada en la gestión de metadatos de adjuntos, lo que permite a usuarios con permisos limitados realizar modificaciones que no deberían estar autorizados a ejecutar. Esto afecta la integridad de los datos asociados a los adjuntos en el plugin.

Impacto potencial

Si se explota esta vulnerabilidad, un atacante podría modificar información crítica de los adjuntos, lo que podría comprometer la integridad del contenido y afectar la confianza de los usuarios en el sitio. Además, podría facilitar ataques más complejos o la manipulación de datos sensibles.

Vector de explotación

La explotación de esta vulnerabilidad suele llevarse a cabo mediante el acceso al área de administración del sitio, donde un usuario autenticado con rol de contribuidor o superior puede intentar modificar metadatos de archivos adjuntos sin la debida autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'Accordion and Accordion Slider' a la versión 1.4.6 o superior. Además, es aconsejable revisar los permisos de usuario y aplicar principios de menor privilegio para minimizar el riesgo de explotación.

Señales de detección

Se pueden observar señales de explotación a través de registros de actividad inusuales en la modificación de metadatos de archivos adjuntos, especialmente por parte de usuarios con roles que no deberían tener acceso a estas funciones.

Alcance afectado

Las versiones afectadas de este plugin son todas las versiones anteriores a la 1.4.6, lo que incluye la 1.4.5 y versiones anteriores.