Fuente base de datos: Wordfence Intelligence

WCFM Marketplace <= 3.7.0 - Insecure Direct Object Reference to Unauthenticated Arbitrary Refund Request Creation en WC Multivendor Marketplace (vulnerabilidad) - version 3.7.1

PLUGIN MEDIUM CVE-2026-1722

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo 'Insecure Direct Object Reference' en el plugin WCFM Marketplace, que permite la creación de solicitudes de reembolso arbitrarias sin autenticación. Esta vulnerabilidad afecta a las versiones hasta la 3.7.0 y se considera de gravedad media.

Contexto técnico

La vulnerabilidad se origina en la falta de validación en las solicitudes de reembolso, permitiendo a un atacante no autenticado manipular parámetros para solicitar reembolsos arbitrarios. Esto expone el sistema a un acceso no autorizado a funciones críticas del plugin.

Impacto potencial

El impacto potencial incluye pérdidas económicas debido a reembolsos no autorizados, además de la posible pérdida de confianza por parte de los usuarios. La seguridad de la tienda online puede verse comprometida, afectando la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad manipulando las solicitudes de reembolso a través de la URL, sin necesidad de autenticarse, lo que les permite enviar solicitudes de reembolso de forma arbitraria.

Mitigación recomendada

Actualizar el plugin WCFM Marketplace a la versión 3.7.1 o superior. Además, se recomienda revisar los registros de actividad para detectar cualquier intento de explotación y aplicar medidas de seguridad adicionales como la validación de acceso a funciones críticas.

Señales de detección

Señales de riesgo incluyen un aumento inusual en las solicitudes de reembolso o registros de actividad que muestren intentos de acceso no autorizado a funciones de reembolso. Monitorizar los logs del servidor puede ayudar a identificar patrones sospechosos.

Alcance afectado

Las versiones del plugin WCFM Marketplace hasta la 3.7.0 están afectadas por esta vulnerabilidad. Se recomienda a los usuarios de estas versiones que realicen la actualización correspondiente.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

profile-builder

User Profile Builder <= 3.16.4 - Unauthenticated Authentication Bypass via Type Confusion to Administrator Account Takeover via 'username' Parameter

CRITICAL PLUGIN

truebooker-appointment-booking

TrueBooker <= 1.2.6 - Unauthenticated Account Takeover via Insecure Direct Object Reference in 'truebooker_wp_user_id' Parameter

CRITICAL PLUGIN

link-library

Link Library <= 7.9.4 - Unauthenticated Arbitrary File Deletion via link_url Parameter

CRITICAL PLUGIN

rapisafe-multi-file-cf7

RapiSafe <= 1.0.4 - Unauthenticated Arbitrary File Deletion via 'rsmfcf7_session' and 'file_name' Parameters

CRITICAL PLUGIN

6storage-rentals

6Storage Rentals <= 2.27.0 - Unauthenticated Account Takeover via 'email' Parameter

MEDIUM PLUGIN

booking-calendar

Booking calendar, Appointment Booking System <= 3.2.36 - Missing Authorization to Unauthenticated Arbitrary Modification via wpdevart_payment AJAX Action

HIGH PLUGIN

maxupload-upload-larger-files-easily

MaxUpload <= 1.4.0 - Unauthenticated Arbitrary File Upload via 'resumableFilename' Parameter

MEDIUM PLUGIN

booking-system

Pinpoint Booking System <= 2.9.9.6.8 - Unauthenticated Improper Input Validation to Price Manipulation via 'cart_data' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto