Fuente base de datos: Wordfence Intelligence

ProfileGrid <= 5.9.7.2 - Insecure Direct Object Reference to Authenticated (Subscriber+) Arbitrary User Profile and Cover Image Modification

PLUGIN MEDIUM CVE-2026-1271

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de referencia de objeto directo inseguro (IDOR) en el plugin ProfileGrid hasta la versión 5.9.7.2, que permite a usuarios autenticados (nivel suscriptor y superior) modificar perfiles de usuario y sus imágenes de portada de manera arbitraria. La vulnerabilidad tiene una severidad media con un CVSS de 5.3.

Contexto técnico

La vulnerabilidad se origina en la falta de controles adecuados para validar las solicitudes de modificación de perfiles de usuario, lo que permite a un atacante autenticado acceder y modificar objetos que no le pertenecen. Esto se traduce en un riesgo significativo de manipulación de datos dentro de la aplicación.

Impacto potencial

El impacto potencial incluye la alteración no autorizada de perfiles de usuario, lo que podría comprometer la integridad de la información del usuario y la reputación de la plataforma. Esto puede llevar a la pérdida de confianza por parte de los usuarios y posibles implicaciones legales si se manipulan datos sensibles.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas a la API del plugin para modificar perfiles de otros usuarios, utilizando credenciales válidas de un suscriptor o superior.

Mitigación recomendada

Actualizar el plugin ProfileGrid a la versión 5.9.7.3 o superior para corregir la vulnerabilidad. Además, se recomienda implementar controles de acceso más estrictos y realizar auditorías de seguridad periódicas en la configuración de los plugins utilizados.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales donde un usuario autenticado intenta modificar perfiles que no le pertenecen, así como alertas de cambios en los perfiles de usuario sin justificación aparente.

Alcance afectado

Las versiones afectadas son todas las versiones de ProfileGrid hasta la 5.9.7.2. Se recomienda a los administradores de sitios que verifiquen sus instalaciones y actualicen lo antes posible.