Fuente base de datos: Wordfence Intelligence

Visualizer: Tables and Charts Manager for WordPress <= 3.11.14 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Chart Creation and Modification via renderChartPages() and uploadData() Functions (falta de autorizacion) - version 3.11.15

PLUGIN MEDIUM CVE-2026-8689

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Visualizer para WordPress, que permite la creación y modificación arbitraria de gráficos por usuarios autenticados con rol de suscriptor o superior. Este fallo de autorización puede comprometer la integridad de los datos visualizados en el sitio web.

Contexto técnico

El fallo se origina en las funciones renderChartPages() y uploadData(), que carecen de controles adecuados de autorización. Esto permite que usuarios con permisos limitados creen y modifiquen gráficos sin las restricciones necesarias, exponiendo la superficie de ataque a usuarios autenticados.

Impacto potencial

El impacto en la seguridad del negocio puede ser significativo, ya que la manipulación de gráficos puede llevar a la desinformación de los usuarios y afectar la confianza en el contenido del sitio. La severidad de esta vulnerabilidad se clasifica como media, con un CVSS de 4.3.

Vector de explotación

La explotación de esta vulnerabilidad se puede realizar mediante el acceso a las funciones vulnerables por parte de usuarios autenticados, que podrían enviar solicitudes manipuladas para crear o modificar gráficos.

Mitigación recomendada

Actualizar el plugin Visualizer a la versión 3.11.15 o superior para corregir la vulnerabilidad. Revisar los roles y permisos de los usuarios en el sitio para asegurarse de que solo los usuarios autorizados tengan acceso a funciones críticas. Implementar medidas adicionales de seguridad, como la revisión de logs y auditorías periódicas de permisos.

Señales de detección

Monitorear los logs de acceso en busca de solicitudes inusuales a las funciones renderChartPages() y uploadData() que provengan de usuarios con rol de suscriptor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.11.15. No se han confirmado otros escenarios de explotación fuera de las versiones mencionadas.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

visualizer