Vulnerabilidad en Canto para WordPress (CVE-2026-3335)

El plugin Canto para WordPress presenta una vulnerabilidad de falta de autorización en todas las versiones hasta la 3.1.1, incluida esta, a través del archivo `/wp-content/plugins/canto/includes/lib/copy-media.php`. Esto se debe a que se puede acceder directamente al archivo sin comprobaciones de autenticación, autorización o nonce, y a que los componentes de URL `fbc_flight_domain` y `fbc_app_api` se aceptan como parámetros POST proporcionados por el usuario en lugar de leerse desde las opciones configuradas por el administrador. Dado que el atacante controla tanto el servidor de destino como el valor `fbc_app_token`, toda la cadena de obtención y carga queda bajo su control: el servidor nunca se pone en contacto con la API legítima de Canto, y el archivo cargado procede íntegramente de la infraestructura del atacante. Esto permite a atacantes no autenticados cargar archivos arbitrarios (limitados a los tipos MIME permitidos por WordPress) en el directorio de cargas de WordPress. También se puede acceder directamente a otros puntos finales (`detail.php`, `download.php`, `get.php`, `tree.php`) sin necesidad de autenticación, y estos realizan solicitudes utilizando un parámetro `app_api` proporcionado por el usuario combinado con un subdominio configurado por el administrador.