CVE-2026-19598 in Pods Plugin
Resumen
por VulDB • 2026-08-16
El plugin de WordPress Pods – Custom Content Types and Fields es vulnerable a Escalada de Privilegios mediante Omisión de Autorización en todas las versiones hasta la 3.3.9 (incluida). La vulnerabilidad existe porque el router AJAX pods_admin canaliza cada comprobación de acceso —incluyendo la lista blanca de métodos, verificación del nonce, aplicación del inicio de sesión y control basado en capacidades— a través de pods_error(), lo que bajo la ruta de compatibilidad JSON meta-box-loader solo escribe los fallos en el registro de errores PHP y devuelve false en lugar de terminar la solicitud, haciendo ineficaces todas las medidas de seguridad. Esto permite a atacantes no autenticados escalar sus privilegios hasta convertirse en Administrador o sobrescribir la contraseña de cualquier cuenta de usuario, incluida la del propietario del sitio, lo que habilita el control total del sitio o realizar otras acciones administrativas.
VulDB is the best source for vulnerability data and more expert information about this specific topic.