Fuente base de datos: Wordfence Intelligence

Oliver POS <= 2.4.2.6 - Unauthenticated Authorization Bypass Through User-Controlled Key to 'OliverAuth' Header (vulnerabilidad) - version 4.5.4

PLUGIN MEDIUM CVE-2026-6072

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Oliver POS, versión 2.4.2.6, que permite un bypass de autorización no autenticada a través de una clave controlada por el usuario en el encabezado 'OliverAuth'. Esta falla puede comprometer la seguridad operativa de las instalaciones afectadas.

Contexto técnico

El fallo se presenta en el componente Oliver POS, donde un atacante puede manipular el encabezado 'OliverAuth' para eludir controles de acceso. Esta vulnerabilidad se explota sin necesidad de autenticación, lo que amplifica su riesgo potencial.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante acceder a funcionalidades restringidas del plugin, lo que podría resultar en la exposición de datos sensibles y afectar la integridad de las operaciones comerciales.

Vector de explotación

La explotación generalmente implica el envío de solicitudes HTTP manipuladas que incluyen un encabezado 'OliverAuth' modificado, permitiendo el acceso no autorizado a recursos protegidos.

Mitigación recomendada

Actualizar el plugin Oliver POS a la versión 2.4.2.6 o superior. Revisar y ajustar las configuraciones de seguridad del servidor para mitigar accesos no autorizados. Realizar auditorías de seguridad periódicas para identificar posibles vulnerabilidades adicionales.

Señales de detección

Revisar los logs de acceso en busca de patrones inusuales en las solicitudes HTTP que incluyan el encabezado 'OliverAuth'.

Alcance afectado

Las versiones afectadas son todas las anteriores a 2.4.2.6. No se han confirmado casos en versiones posteriores.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

invoice-creator

Invoice Generator <= 1.0.0 - Unauthenticated Privilege Escalation via Account Takeover via 'user_id' Parameter

CRITICAL PLUGIN

signup-signin

SignUp & SignIn <= 1.0.0 - Unauthenticated Privilege Escalation via Weak Password Reset Validation via 'reset_activation_code' Leading to Account Takeover

HIGH PLUGIN

newscred-publishing

Welcome Software Publishing <= 0.0.31 - Authenticated (Subscriber+) Arbitrary Options Update to Privilege Escalation via 'nc.setOption' XML-RPC Method

CRITICAL PLUGIN

branda-white-labeling

Branda – White Label & Branding, Free Login Page Customizer <= 3.4.29 - Unauthenticated Privilege Escalation via Account Takeover

HIGH PLUGIN

fusion-builder

Avada (Fusion) Builder <= 3.15.4 - Authenticated (Contributor+) Privilege Escalation

HIGH PLUGIN

e2pdf

E2Pdf <= 1.32.26 - Missing Authorization to Authenticated (Custom+) Arbitrary Option Update / Privilege Escalation via 'screen_action' Parameter

HIGH PLUGIN

falang

Falang multilanguage for WordPress <= 1.4.2 - Authenticated (Subscriber+) Privilege Escalation

HIGH PLUGIN

jetformbuilder

JetFormBuilder — Dynamic Blocks Form Builder <= 3.6.1 - Authenticated (Subscriber+) Privilege Escalation

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto