Una vulnerabilidad de seguridad crítica en el popular plugin de WordPress WP Maps Pro podría permitir que los atacantes obtengan el control total de los sitios web afectados mediante la creación de cuentas de administrador no autorizadas.

El fallo, rastreado como CVE-2026-8732 con una puntuación CVSS de 9.8, afecta a todas las versiones del plugin hasta la 6.1.0 y ha generado graves preocupaciones en todo el ecosistema de WordPress.

Vulnerabilidad de WP Maps Pro

La vulnerabilidad fue descubierta por el investigador de seguridad David Brown y reportada a través del Programa de Bug Bounty de Wordfence, obteniendo una recompensa de 1,950 dólares.

WP Maps Pro, que ha registrado más de 15,000 ventas en CodeCanyon, se utiliza ampliamente para insertar mapas de Google personalizables con funciones de ubicación avanzadas.

En el núcleo del problema se encuentra un fallo de escalada de privilegios no autenticado dentro de la funcionalidad AJAX del plugin. Específicamente, el endpoint vulnerable está expuesto a través de la acción wpgmp_temp_access_ajax, que está registrada incorrectamente para permitir el acceso no autenticado.

Aunque la función incluye una comprobación de nonce, el nonce es accesible públicamente dentro del JavaScript del frontend, lo que hace que la protección sea ineficaz.

Los atacantes pueden explotar esta debilidad enviando una solicitud manipulada con un parámetro que activa la función de acceso temporal del plugin.

Esta función fue diseñada originalmente para otorgar acceso de inicio de sesión temporal al personal de soporte, pero carece de comprobaciones de autorización adecuadas. Como resultado, el plugin crea automáticamente un nuevo usuario con privilegios de administrador utilizando funciones integradas de WordPress.

Una vez creada la cuenta, el plugin genera una "URL de inicio de sesión mágico" que permite la autenticación sin contraseña. Visitar esta URL inicia la sesión del atacante como administrador a través de una cookie de sesión, otorgándole el control irrestricto sobre el sitio web.

Esto incluye la capacidad de instalar plugins maliciosos, inyectar puertas traseras, manipular el contenido del sitio o exfiltrar datos confidenciales.

El proveedor ha solucionado la vulnerabilidad en la versión 6.1.1 implementando una comprobación de capacidad adecuada utilizando current_user_can(‘manage_options’), asegurando que solo los administradores autenticados puedan acceder a la funcionalidad sensible.

Wordfence actuó rápidamente para proteger a los usuarios desplegando una regla de firewall el 18 de mayo de 2026 para sus clientes premium, care y response.

Los usuarios de la versión gratuita tienen programado recibir la misma protección el 17 de junio de 2026. Debido a la falta de contacto directo con el proveedor, la divulgación de la vulnerabilidad se coordinó a través del equipo de seguridad de Envato.

Los expertos en seguridad te instan encarecidamente a que, si eres usuario de WP Maps Pro, actualices a la versión 6.1.1 inmediatamente. Los sitios web que ejecuten versiones obsoletas siguen siendo altamente vulnerables a la explotación, ya que los atacantes no requieren autenticación para comprometer sistemas completos.

Este incidente resalta los riesgos continuos que representan los endpoints AJAX mal asegurados. Subraya la importancia de implementar controles de acceso estrictos en el desarrollo de plugins.