Vulnerabilidad en plugin de WordPress Frontend User Notes (CVE-2026-7047)

El plugin Frontend User Notes para WordPress es vulnerable a falsificación de petición en sitios cruzados en todas las versiones hasta la 2.1.1, inclusive. Esto se debe a la validación de nonce faltante o incorrecta en la función funp_ajax_modify_notes. Esto hace posible que atacantes no autenticados engañen a un usuario con sesión iniciada para que visite una página maliciosa, causando la sobrescritura no autorizada del propio contenido de notas de esa víctima a través de una petición en sitios cruzados falsificada a wp_update_post() a través de una petición falsificada siempre que puedan engañar a un administrador del sitio para que realice una acción como hacer clic en un enlace. Debido a la aplicación de la propiedad que compara el meta _funp_single_user_id almacenado de la nota con el ID de usuario de la sesión actual, el ataque se limita a modificar solo las notas que pertenecen a la víctima engañada, y no puede usarse para alterar notas propiedad de usuarios terceros arbitrarios.