Resumen ejecutivo
La vulnerabilidad en el plugin Authorsy (versiones hasta 1.0.6) permite referencias inseguras a objetos sin autenticación, lo que puede comprometer la seguridad del sitio. Se clasifica como de severidad media con un CVSS de 5.3.
Fuente base de datos: Wordfence Intelligence
Authorsy <= 1.0.6 - Unauthenticated Insecure Direct Object Reference (vulnerabilidad) - version 1.0.7
PLUGIN
MEDIUM
CVE-2026-24950
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.
Contexto técnico
Este fallo se debe a una incorrecta validación de acceso a ciertos recursos, permitiendo que usuarios no autenticados accedan a objetos que deberían estar protegidos. Esto expone el sistema a posibles manipulaciones y accesos no autorizados.
Impacto potencial
El impacto potencial incluye la exposición de datos sensibles y la posibilidad de que un atacante acceda a funciones restringidas, lo que podría llevar a un compromiso mayor del sitio y afectar la confianza de los usuarios.
Vector de explotación
Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes directas a los recursos vulnerables sin necesidad de autenticación, lo que les permite acceder a información sensible.
Mitigación recomendada
Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Authorsy a la versión 1.0.7 o superior. Además, se debe revisar la configuración de acceso y aplicar controles adicionales para proteger recursos sensibles.
Señales de detección
Señales de riesgo incluyen accesos no autorizados a recursos protegidos y patrones de tráfico inusuales que intentan acceder a objetos restringidos sin autenticación.
Alcance afectado
Las versiones afectadas son todas las anteriores a la 1.0.7 del plugin Authorsy.
Vulnerabilidades relacionadas
HIGH
PLUGIN
drag-and-drop-multiple-file-upload-contact-form-7
Drag and Drop Multiple File Upload for Contact Form 7 <= 1.3.9.6 - Unauthenticated Limited Arbitrary File Read via mfile Field
HIGH
PLUGIN
drag-and-drop-multiple-file-upload-contact-form-7
Drag and Drop Multiple File Upload for Contact Form 7 <= 1.3.9.6 - Unauthenticated Arbitrary File Upload via Non-ASCII Filename Blacklist Bypass
HIGH
PLUGIN
easy-appointments
Easy Appointments <= 3.12.21 - Unauthenticated Sensitive Information Exposure via REST API
MEDIUM
PLUGIN
latepoint
LatePoint <= 5.3.2 - Insecure Direct Object Reference to Unauthenticated Sensitive Financial Data Exposure via Sequential Invoice ID
MEDIUM
PLUGIN
fluentform
Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder <= 6.1.21 - Insecure Direct Object Reference in Stripe SCA Confirmation to Unauthenticated Payment Status Modification
MEDIUM
PLUGIN
riaxe-product-customizer
Riaxe Product Customizer <= 2.1.2 - Unauthenticated Arbitrary User Deletion via 'user_id' Parameter
MEDIUM
PLUGIN
basic-google-maps-placemarks
Basic Google Maps Placemarks <= 1.10.7 - Missing Authorization to Unauthenticated Default Map Coordinate Update
CRITICAL
THEME
webstack
WebStack <= 1.2024 - Unauthenticated Arbitrary File Upload
¿Tu WordPress podría estar expuesto?
Comprueba si tu web tiene esta vulnerabilidad
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
¿Necesitas ayuda de un experto?
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un experto