Fuente base de datos: Wordfence Intelligence

Oliver POS <= 2.4.2.6 - Unauthenticated Authorization Bypass Through User-Controlled Key to 'OliverAuth' Header (vulnerabilidad) - version 4.5.4

PLUGIN MEDIUM CVE-2026-6072

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Oliver POS, versión 2.4.2.6, que permite un bypass de autorización no autenticada a través de una clave controlada por el usuario en el encabezado 'OliverAuth'. Esta falla puede comprometer la seguridad operativa de las instalaciones afectadas.

Contexto técnico

El fallo se presenta en el componente Oliver POS, donde un atacante puede manipular el encabezado 'OliverAuth' para eludir controles de acceso. Esta vulnerabilidad se explota sin necesidad de autenticación, lo que amplifica su riesgo potencial.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante acceder a funcionalidades restringidas del plugin, lo que podría resultar en la exposición de datos sensibles y afectar la integridad de las operaciones comerciales.

Vector de explotación

La explotación generalmente implica el envío de solicitudes HTTP manipuladas que incluyen un encabezado 'OliverAuth' modificado, permitiendo el acceso no autorizado a recursos protegidos.

Mitigación recomendada

Actualizar el plugin Oliver POS a la versión 2.4.2.6 o superior. Revisar y ajustar las configuraciones de seguridad del servidor para mitigar accesos no autorizados. Realizar auditorías de seguridad periódicas para identificar posibles vulnerabilidades adicionales.

Señales de detección

Revisar los logs de acceso en busca de patrones inusuales en las solicitudes HTTP que incluyan el encabezado 'OliverAuth'.

Alcance afectado

Las versiones afectadas son todas las anteriores a 2.4.2.6. No se han confirmado casos en versiones posteriores.

Vulnerabilidades relacionadas

HIGH PLUGIN

events-for-geodirectory

Events Calendar for GeoDirectory <= 2.3.28 - Authenticated (Subscriber+) Privilege Escalation

HIGH PLUGIN

booking-package

Booking Package <= 1.7.16 - Authenticated (Editor+) Privilege Escalation via Account Takeover to updateUser AJAX Action

CRITICAL PLUGIN

armember

ARMember Premium <= 7.3.1 - Insecure Password Reset Mechanism to Unauthenticated Privilege Escalation

CRITICAL PLUGIN

kirki

Kirki 6.0.0 - 6.0.6 - Unauthenticated Privilege Escalation via 'handle_forgot_password'

CRITICAL PLUGIN

support_ticket

Support Ticket Management System <= 1.9 - Unauthenticated Privilege Escalation

HIGH PLUGIN

ai-engine

AI Engine – The Chatbot, AI Framework & MCP for WordPress <= 3.4.9 - Authenticated (Editor+) Privilege Escalation

CRITICAL PLUGIN

acf-extended

Advanced Custom Fields: Extended <= 0.9.2.5 - Unauthenticated Privilege Escalation via Validation Bypass to '_acf_post_id' Parameter

CRITICAL PLUGIN

wp-google-map-gold

WP Maps Pro <= 6.1.0 - Unauthenticated Privilege Escalation via Administrator Account Creation to wpgmp_temp_access_ajax AJAX Action

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto