Fuente base de datos: Wordfence Intelligence

Classified Listing <= 5.3.10 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Modification via add_order_note and send_email_to_user_by_moderator AJAX Actions (falta de autorizacion) - version 5.4.0

PLUGIN MEDIUM CVE-2026-7563

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

La extensión Classified Listing hasta la versión 5.3.10 presenta una vulnerabilidad que permite a usuarios autenticados realizar modificaciones arbitrarias. Esto puede comprometer la integridad de los datos y la operativa del sitio web.

Contexto técnico

El fallo se origina en las acciones AJAX 'add_order_note' y 'send_email_to_user_by_moderator', que carecen de las autorizaciones adecuadas para usuarios con rol de Suscriptor y superiores. Esto permite que cualquier usuario autenticado modifique datos sin restricciones.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a usuarios no autorizados alterar información crítica, afectando la confianza de los usuarios y la reputación del negocio. Aunque la severidad se clasifica como media, el impacto operativo puede ser significativo si se utiliza de manera maliciosa.

Vector de explotación

La vulnerabilidad se puede explotar mediante el envío de peticiones AJAX maliciosas que invocan las funciones afectadas sin la debida autorización.

Mitigación recomendada

Actualizar el plugin Classified Listing a la versión 5.4.0 o superior. Revisar los registros de actividad para identificar accesos no autorizados. Implementar controles adicionales de autorización en las funciones afectadas.

Señales de detección

Monitorizar los logs de acceso en busca de peticiones inusuales a las acciones AJAX mencionadas, especialmente desde cuentas de usuario con rol de Suscriptor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.4.0. No se han confirmado otros escenarios de explotación en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

classified-listing