Una vulnerabilidad crítica (CVE-2026-8732) en el plugin WP Maps Pro (versiones 6.1.0 y anteriores) permite a atacantes crear cuentas de administrador sin autenticación. El fallo se debe a una función de "acceso temporal" mal implementada, facilitando el control total del sitio web. Se recomienda actualizar urgentemente a la **versión 6.1.1**, ya que se han detectado miles de intentos de explotación.




Están atacando sitios web de WordPress que ejecutan una versión vulnerable del plugin WP Maps Pro, lo que permite la creación de cuentas de administrador fraudulentas sin autenticación.

La vulnerabilidad, identificada como CVE-2026-8732, tiene una calificación de gravedad crítica y afecta a las versiones 6.1.0 y anteriores de WP Maps Pro. Fue descubierta y reportada por el investigador de seguridad David Brown.

WP Maps Pro es un plugin premium de WordPress para crear mapas interactivos y localizadores de tiendas personalizables. Es compatible con múltiples proveedores de mapas, como Google Maps y OpenStreetMap.

El plugin es utilizado habitualmente por empresas, sitios web inmobiliarios, sitios de viajes, directorios y organizaciones que necesitan mostrar múltiples ubicaciones en un mapa, y cuenta con más de 15.800 ventas en el Envato Market.

La vulnerabilidad CVE-2026-8732 es causada por una función de "acceso temporal" en el plugin, destinada a permitir que el personal de soporte del proveedor acceda a los sitios de los clientes para la resolución de problemas.

Brown descubrió que el endpoint AJAX utilizado para esta función era accesible para usuarios no autenticados y dependía únicamente de una verificación de nonce expuesta públicamente en el JavaScript del frontend, lo que invalidaba la protección.

Esto permite enviar una solicitud especialmente diseñada que activa el código para crear un nuevo usuario de WordPress, asignarle el rol de administrador, generar una URL de inicio de sesión sin contraseña y enviarla a un sistema remoto.

Una vez que el atacante visita esta URL, se autentica automáticamente en la cuenta de administrador recién creada, sin que se requiera contraseña ni ninguna otra verificación.

Investigadores de la empresa de seguridad de WordPress Defiant observaron que los actores de amenazas están intentando explotar la vulnerabilidad, y bloquearon más de 3.600 intentos en las últimas 24 horas.

Creación de un usuario administrador fraudulento
Fuente: Wordfence

“Cuando se realiza la solicitud con un parámetro check_temp establecido en false, la función crea un nuevo usuario de WordPress a través de wp_insert_user() con el rol predefinido de administrador, un nombre de usuario generado aleatoriamente y la dirección de correo electrónico predefinida support@flippercode.com”, explican los investigadores [http://www.wordfence.com/blog/2026/05/15000-wordpress-sites-affected-by-administrator-account-creation-vulnerability-in-wp-maps-pro-wordpress-plugin/].

“La función genera entonces una 'URL de inicio de sesión mágico' utilizando generate_login_link(), la almacena como meta de usuario y la devuelve en el cuerpo de la respuesta”.

Tener acceso de nivel de administrador en el sitio significa que los atacantes pueden inyectar puertas traseras persistentes, modificar el contenido, acceder a datos privados, desplegar shells web, instalar plugins maliciosos y tomar el control total del sitio web.

Brown informó del fallo a Wordfence el 24 de marzo, y el proveedor fue notificado el 16 de mayo tras la validación del exploit.

El 20 de mayo se lanzó WP Maps Pro 6.1.1 con una corrección para CVE-2026-8732. Se recomienda a los administradores de sitios web que actualicen sus plugins lo antes posible, ya que ya se ha observado actividad maliciosa.

Fuente:
BleepingComputer