Fuente base de datos: Wordfence Intelligence

Motors <= 1.4.111 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Post Meta Modification via 'stm_mark_as_sold_car' Parameter en Motors CAR Dealership Classified Listings (falta de autorizacion) - version 1.4.112

PLUGIN MEDIUM CVE-2026-12435

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha detectado una vulnerabilidad en el plugin Motors (versiones <= 1.4.111) que permite a usuarios autenticados con rol de suscriptor modificar metadatos de publicaciones de forma arbitraria. Esta falta de autorización puede comprometer la integridad de los datos en el sitio, afectando la confianza de los usuarios.

Contexto técnico

La vulnerabilidad se encuentra en el parámetro 'stm_mark_as_sold_car', que no verifica adecuadamente los permisos de los usuarios autenticados. Esto permite que cualquier usuario con rol de suscriptor o superior realice modificaciones no autorizadas en los metadatos de las publicaciones.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la manipulación de información crítica en el sitio, lo que podría llevar a la desinformación de los usuarios y a la pérdida de confianza en la plataforma. Además, puede facilitar ataques más complejos si se aprovechan las modificaciones realizadas.

Vector de explotación

La explotación se realiza mediante el envío de solicitudes manipuladas que incluyen el parámetro vulnerable, permitiendo cambios en los metadatos sin las debidas autorizaciones.

Mitigación recomendada

Actualizar el plugin Motors a la versión 1.4.112 o superior para corregir la vulnerabilidad. Revisar los registros de actividad para identificar accesos no autorizados o modificaciones sospechosas. Implementar controles adicionales de acceso para limitar las capacidades de los usuarios autenticados.

Señales de detección

Señales a observar incluyen cambios inesperados en los metadatos de publicaciones y registros de acceso inusuales por parte de usuarios con rol de suscriptor.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Motors hasta la 1.4.111. No se han confirmado otros escenarios de explotación en versiones posteriores.