CVE-2026-19598

Resumen

El plugin The Pods – Custom Content Types and Fields para WordPress es vulnerable a la escalada de privilegios mediante la omisión de autorización en todas las versiones hasta la 3.3.9 inclusive. La vulnerabilidad existe porque el enrutador AJAX de pods_admin canaliza todas las comprobaciones de acceso — incluyendo la lista de métodos permitidos, la verificación del nonce, la obligatoriedad de inicio de sesión y el control de capacidades — a través de pods_error(), que en la ruta de compatibilidad del meta-box-loader JSON solo escribe los fallos en el registro de errores de PHP y devuelve false en lugar de terminar la solicitud, dejando todas las protecciones inefectivas. Esto permite que atacantes no autenticados escalen sus privilegios a Administrador o sobrescriban la contraseña de cualquier cuenta de usuario, incluida la del propietario del sitio, lo que posibilita la toma de control total del sitio, o realizar otra acción de administrador.

• CVE-2026-19598-Exploit

  Explota la CVE-2026-19598 en el plugin Pods de WordPress para crear cuentas de administrador o sobrescribir contraseñas mediante una solicitud AJAX no autenticada, con soporte de escaneo masivo y multi-hilo.

• CVE-2026-19598-PoCPoC

  Prueba de concepto para CVE-2026-19598 que afecta a Pods <= 3.3.9.