Fuente base de datos: Wordfence Intelligence

ProfilePress <= 4.13.2 - Information Disclosure via Debug Log

PLUGIN MEDIUM CVE-2023-44150

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de divulgación de información en el plugin ProfilePress, que afecta a las versiones hasta la 4.13.2. Esta vulnerabilidad permite a un atacante acceder a información sensible a través del registro de depuración.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja los registros de depuración, permitiendo que información sensible sea expuesta a través de un acceso no autorizado. La superficie de ataque se centra en la capacidad de un atacante para acceder a estos registros sin la debida autorización.

Impacto potencial

El impacto potencial incluye la exposición de datos sensibles que podrían ser utilizados para llevar a cabo ataques adicionales o comprometer la seguridad general del sitio. Esto puede afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad accediendo a los registros de depuración del plugin, lo que les permite obtener información que no debería estar disponible públicamente.

Mitigación recomendada

Actualizar el plugin ProfilePress a la versión 4.13.3 o superior para corregir la vulnerabilidad. Además, se recomienda desactivar el registro de depuración en entornos de producción y realizar auditorías de seguridad periódicas.

Señales de detección

Señales de riesgo incluyen la presencia de registros de depuración accesibles públicamente o intentos de acceso no autorizado a estos registros. Monitorizar los logs del servidor puede ayudar a identificar actividades sospechosas.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin ProfilePress hasta la 4.13.2. Las instalaciones que no hayan actualizado a la versión 4.13.3 están en riesgo.

Vulnerabilidades relacionadas

HIGH PLUGIN

wp-user-avatar

Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content – ProfilePress <= 4.16.11 - Missing Authorization to Authenticated (Subscriber+) Membership Payment Bypass

MEDIUM PLUGIN

wp-user-avatar

Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content – ProfilePress <= 4.16.11 - Unauthenticated Arbitrary Shortcode Execution via Checkout Billing Fields

MEDIUM PLUGIN

ninja-forms

Ninja Forms <= 3.14.1 - Authenticated (Contributor+) Sensitive Information Disclosure via Block Editor Token

MEDIUM WORDPRESS

wp-core

WordPress <= 6.9.1 - Missing Authorization to Authenticated (Author+) Sensitive Information Disclosure via query-attachments AJAX Endpoint

HIGH PLUGIN

wp-user-avatar

ProfilePress <= 4.16.11 - Insecure Direct Object Reference to Authenticated (Subscriber+) Arbitrary Subscription Cancellation/Expiration

MEDIUM PLUGIN

classified-listing

Classified Listing – AI-Powered Classified ads & Business Directory Plugin <= 5.3.4 - Authenticated (Subscriber+) Sensitive Data Exposure

MEDIUM PLUGIN

easy-form-builder

Easy Form Builder <= 3.9.3 - Missing Authorization to Authenticated (Subscriber+) Sensitive Form Response Data Exposure

MEDIUM PLUGIN

smart-forms

Smart Forms <= 2.6.99 - Missing Authorization to Authenticated (Subscriber+) Campaign Data Exposure

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto