Vulnerabilidad crítica en WP Maps Pro permite tomar control de sitios de WordPress
Recientemente, se ha descubierto una grave vulnerabilidad en WP Maps Pro, un plugin de WordPress utilizado para mostrar mapas personalizados. Esta falla permite a atacantes sin autorización crear cuentas de administrador en sitios vulnerables, lo que podría llevar al control total de estos sitios. La vulnerabilidad fue reportada por el investigador de seguridad David Brown y tiene una puntuación de 9.8 en la escala CVSS, lo que indica su alta severidad.
Cómo funciona el ataque
La vulnerabilidad, identificada como CVE-2026-8732, se basa en un defecto en una función diseñada para permitir el acceso temporal a personal de soporte técnico. Los atacantes pueden invocar esta función sin estar autenticados, lo que les permite crear un nuevo usuario de WordPress con permisos de administrador. Esto se debe a que la función no tiene controles adecuados para verificar la identidad del solicitante.
- Los atacantes utilizan la acción AJAX llamada
wpgmp_temp_access_ajax, que no está protegida adecuadamente. - Al invocar esta función, los atacantes pueden crear una cuenta de administrador sin necesidad de autenticación.
- Una vez creada la cuenta, reciben un enlace mágico para iniciar sesión automáticamente en el sitio.
A quién afecta
La falla afecta a todas las versiones de WP Maps Pro anteriores a la 6.1.1. Este plugin se ha vendido más de 15,000 veces en el mercado de Envato, lo que significa que un gran número de sitios web podrían estar en riesgo. Desde el 20 de mayo de 2026, se ha lanzado una actualización para solucionar esta vulnerabilidad, pero se ha detectado que sigue siendo objeto de explotación activa.
Qué significa esto para ti
Es crucial que todos los propietarios de sitios que utilizan WP Maps Pro actualicen inmediatamente a la versión 6.1.1 o superior para protegerse de este ataque. La falta de actualización podría resultar en la toma de control de sus sitios web, lo que implica un alto riesgo tanto para la integridad del contenido como para la seguridad de los usuarios. Mantener los plugins actualizados es una de las mejores prácticas para prevenir este tipo de incidentes.