Vulnerabilidad en plugin GetGenie para WordPress (CVE-2026-2879)

El plugin GetGenie para WordPress es vulnerable a Referencia Directa Insegura a Objeto en todas las versiones hasta la 4.3.2, inclusive. Esto se debe a la falta de validación en el parámetro 'id' en el método 'create()' del endpoint de la API REST 'GetGenieChat'. El método acepta un ID de publicación controlado por el usuario y, cuando existe una publicación con ese ID, llama a 'wp_update_post()' sin verificar que el usuario actual sea el propietario de la publicación o que la publicación sea del tipo 'getgenie_chat' esperado. Esto hace posible que atacantes autenticados, con acceso de nivel de Autor y superior, sobrescriban publicaciones arbitrarias propiedad de cualquier usuario — incluyendo Administradores — destruyendo efectivamente el contenido original al cambiar su 'post_type' a 'getgenie_chat' y reasignar 'post_author' al atacante.