Fuente base de datos: Wordfence Intelligence

Motors – Car Dealership & Classified Listings Plugin <= 1.4.103 - Missing Authorization to Authenticated (Subscriber+) Payment Bypass via 'stm_payment_status' Parameter en Motors CAR Dealership Classified Listings (falta de autorizacion) - version 1.4.104

PLUGIN MEDIUM CVE-2026-1934

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Motors – Car Dealership & Classified Listings, que permite el bypass de pagos para usuarios autenticados con rol de suscriptor o superior. Esta falla puede comprometer la integridad financiera de la plataforma, afectando a las transacciones y la confianza del usuario.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada en el parámetro 'stm_payment_status'. Esto permite a los usuarios autenticados, como suscriptores, eludir controles de acceso y realizar pagos sin la debida validación.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados manipular el estado de los pagos, lo que podría resultar en pérdidas económicas y daños a la reputación del negocio. Esto también puede afectar la confianza de los clientes en la seguridad de la plataforma.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante el envío de solicitudes manipuladas que alteran el estado de los pagos, permitiendo que los usuarios autenticados eludan el proceso de pago estándar.

Mitigación recomendada

Actualizar el plugin a la versión 1.4.104 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y roles para asegurar que solo los usuarios autorizados tengan acceso a funciones críticas. Implementar medidas de monitoreo para detectar accesos inusuales o intentos de explotación.

Señales de detección

Revisar los logs de acceso para identificar patrones inusuales de solicitudes al parámetro 'stm_payment_status', así como cambios inesperados en el estado de los pagos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.4.104 del plugin Motors – Car Dealership & Classified Listings. No se han confirmado otros escenarios de explotación.