Vulnerabilidad en plugin Build App Online para WordPress (CVE-2026-3651)

El plugin Build App Online para WordPress es vulnerable a acceso no autorizado en todas las versiones hasta la 1.0.23, inclusive. Esto se debe a que el plugin registra la acción AJAX 'build-app-online-update-vendor-product' a través de wp_ajax_nopriv_ sin las comprobaciones de autenticación adecuadas, verificación de capacidades o validación de nonce en la función update_vendor_product(). La función acepta un ID de publicación proporcionado por el usuario de la solicitud y llama a wp_update_post() para modificar el campo post_author sin validar si el usuario tiene permiso para modificar la publicación especificada. Esto hace posible que atacantes no autenticados modifiquen el post_author de publicaciones arbitrarias a 0 (dejando las publicaciones huérfanas de sus autores legítimos), o que atacantes autenticados reclamen la propiedad de cualquier publicación al establecerse a sí mismos como el autor.