Fuente base de datos: Wordfence Intelligence

WordPress 6.9 - 6.9.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Note Creation via REST API

WORDPRESS MEDIUM CVE-2026-3906

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en WordPress que permite la creación arbitraria de notas a través de la API REST sin la autorización adecuada para usuarios autenticados con rol de suscriptor o superior. Esta falla afecta a las versiones 6.9 y 6.9.1 del núcleo de WordPress.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización en la API REST de WordPress, lo que permite a los usuarios con ciertos roles crear notas sin la validación adecuada de permisos. Esto expone el sistema a posibles abusos por parte de usuarios malintencionados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a los usuarios no autorizados manipular el contenido del sitio, lo que podría comprometer la integridad de la información y la confianza de los usuarios. Además, puede llevar a un aumento en el uso de recursos del servidor y posibles ataques de denegación de servicio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes manipuladas a la API REST, lo que les permite crear notas de forma arbitraria sin la autorización necesaria. Este tipo de explotación no requiere un código de prueba operativo específico, pero puede ser realizado mediante herramientas de automatización de solicitudes HTTP.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar a la versión 6.9.2 de WordPress, donde se ha corregido el fallo. Además, se sugiere implementar controles adicionales de autorización en la API REST y revisar los roles y permisos asignados a los usuarios en el sitio.

Señales de detección

Señales que pueden indicar la explotación de esta vulnerabilidad incluyen un aumento inusual en las solicitudes a la API REST, especialmente aquellas que intentan crear notas, así como la aparición de contenido inesperado en el sitio web.

Alcance afectado

Las versiones afectadas son WordPress 6.9 y 6.9.1. Es crucial que los administradores de sitios que utilicen estas versiones realicen la actualización a la versión segura lo antes posible.

Vulnerabilidades relacionadas

MEDIUM WORDPRESS

wp-core