Fuente base de datos: Wordfence Intelligence

Classified Listing <= 5.4.2 - Missing Authorization to Authenticated (Subscriber+) Feature Modification via Multiple AJAX Handlers ('listingId'/'id' Parameters) (falta de autorizacion) - version 5.4.3

PLUGIN MEDIUM CVE-2026-10779

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Classified Listing, hasta la versión 5.4.2, que permite la modificación de características mediante AJAX sin la debida autorización. Este fallo puede comprometer la integridad de las funcionalidades del plugin, afectando a los usuarios autenticados con roles de suscriptor y superiores.

Contexto técnico

El fallo se origina en la falta de control de autorización en múltiples manejadores AJAX, específicamente a través de los parámetros 'listingId' e 'id'. Esto permite a usuarios no autorizados realizar modificaciones en listados, lo que expone la aplicación a cambios no deseados en la información presentada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados alterar datos críticos del sistema, lo que podría llevar a la desinformación y pérdida de confianza por parte de los usuarios. Además, la integridad de la aplicación se ve comprometida, lo que puede resultar en daños a la reputación del negocio.

Vector de explotación

La explotación se lleva a cabo mediante la manipulación de solicitudes AJAX que no validan adecuadamente los permisos del usuario, permitiendo cambios en listados sin autorización.

Mitigación recomendada

Actualizar el plugin Classified Listing a la versión 5.4.3 o superior. Revisar y reforzar las políticas de autorización en todos los manejadores AJAX relacionados con el plugin. Realizar auditorías de seguridad periódicas para detectar vulnerabilidades similares.

Señales de detección

Revisar los registros de acceso y errores en busca de solicitudes AJAX sospechosas que modifiquen listados sin la debida autorización.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.4.3 del plugin Classified Listing. No se han confirmado otros escenarios o plugins relacionados.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

classified-listing