Vulnerabilidad en plugin de WordPress EmergencyWP (CVE-2026-9732)

El plugin EmergencyWP - Dead Man's switch y entrega de legado para WordPress es vulnerable a falsificación de petición en sitios cruzados en todas las versiones hasta la 1.4.2, inclusive. Esto se debe a la validación de nonce faltante o incorrecta en la función form_settings_ui (gestor de guardado de ajustes, ámbito de inclusión procedural). Esto hace posible que atacantes no autenticados modifiquen los ajustes del plugin, incluyendo el rol de acceso mínimo (alterando las capacidades de rol de WordPress mediante add_cap/remove_cap), la bandera de borrado de datos al desinstalar, los valores de tiempo de verificación de vida, la dirección de correo electrónico del mandante, el ID de la página de confirmación y los formatos de fecha/hora, a través de una petición falsificada, siempre que puedan engañar a un administrador del sitio para que realice una acción como hacer clic en un enlace.