Fuente base de datos: Wordfence Intelligence

External Login <= 1.11.2 - Authenticated (Subscriber+) Sensitive Data Exposure via Test Connection (vulnerabilidad)

PLUGIN MEDIUM CVE-2025-11196

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de exposición de datos sensibles en el plugin External Login, afectando a versiones anteriores a la 1.11.2. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor o superior acceder a información sensible a través de una conexión de prueba.

Contexto técnico

La vulnerabilidad se clasifica como una divulgación de información, donde los usuarios autenticados pueden obtener datos sensibles que no deberían ser accesibles. La superficie de ataque se centra en la funcionalidad de conexión de prueba del plugin, que no implementa adecuadamente controles de acceso.

Impacto potencial

El impacto potencial incluye la exposición de datos sensibles de los usuarios, lo que podría comprometer la privacidad y seguridad de la información. Esto podría afectar la reputación del negocio y la confianza de los usuarios, además de posibles implicaciones legales.

Vector de explotación

Los atacantes podrían aprovechar esta vulnerabilidad accediendo a la funcionalidad de conexión de prueba del plugin, lo que les permitiría obtener información sensible al estar autenticados como suscriptores o con roles superiores.

Mitigación recomendada

Se recomienda actualizar el plugin External Login a la versión 1.11.2 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar los permisos de los roles de usuario y aplicar medidas de hardening en la configuración de acceso del plugin.

Señales de detección

Señales de riesgo incluyen intentos de acceso a la funcionalidad de conexión de prueba por parte de usuarios no autorizados o inusuales, así como registros de acceso que muestren solicitudes a endpoints relacionados con la exposición de datos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.11.2 del plugin External Login. Se recomienda a los administradores de WordPress que verifiquen la versión instalada y tomen medidas adecuadas.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

appointment-booking-calendar

Appointment Booking Calendar <= 1.4.02 - Missing Authorization to Authenticated (Contributor+) Sensitive Information Disclosure

MEDIUM PLUGIN

revslider

Slider Revolution 7.0 - 7.0.10 - Authenticated (Subscriber+) Sensitive Information Disclosure

MEDIUM PLUGIN

alba-board

Alba Board <= 2.1.3 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via 'card_id' Parameter

MEDIUM PLUGIN

feedzy-rss-feeds

RSS Aggregator by Feedzy <= 5.1.7 - Missing Authorization to Authenticated (Contributor+) Import Job Creation, Execution, Purge, Log Clearing, and Information Disclosure via Multiple AJAX Sub-Actions

MEDIUM PLUGIN

page-list

Page-list <= 6.2 - Missing Authorization to Authenticated (Contributor+) Sensitive Information Disclosure via Shortcode Attributes

MEDIUM PLUGIN

generateblocks

GenerateBlocks <= 2.1.0 - Authenticated (Contributor+) Information Disclosure

MEDIUM PLUGIN

soliloquy-lite

Slider by Soliloquy <= 2.8.1 - Authenticated (Subscriber+) Information Disclosure via REST API Endpoint

MEDIUM PLUGIN

kirki

Kirki <= 6.0.6 - Missing Authorization to Authenticated (Subscriber+) Sensitive Form Submission Data Exposure via 'kirki_wp_admin_get_apis' Action

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto