Fuente base de datos: Wordfence Intelligence

Katalogportal-pdf-sync Widget <= 1.0.0 - Missing Authorization to Authenticated (Subscriber+) Information Disclosure via 'katalogportal_shortcodePrinter' AJAX Action en Katalogportal PDF Sync (falta de autorizacion)

PLUGIN MEDIUM CVE-2026-3649

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha detectado una vulnerabilidad en el plugin Katalogportal-pdf-sync (versión <= 1.0.0) que permite la divulgación de información sensible a usuarios autenticados con rol de suscriptor o superior. Esta falla puede comprometer la seguridad de los datos y la privacidad de los usuarios.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada en la acción AJAX 'katalogportal_shortcodePrinter'. Esto permite a los usuarios autenticados acceder a información que debería estar restringida, exponiendo datos sensibles.

Impacto potencial

El impacto puede incluir la exposición no autorizada de información privada, lo que podría dañar la reputación de la organización y afectar la confianza de los usuarios. La divulgación de datos sensibles puede ser aprovechada para realizar ataques adicionales.

Vector de explotación

La explotación se lleva a cabo mediante el envío de solicitudes AJAX a la acción vulnerable, permitiendo a los atacantes acceder a información restringida si cuentan con credenciales de usuario autenticado.

Mitigación recomendada

Actualizar el plugin Katalogportal-pdf-sync a la versión 1.0.0 o superior. Revisar y ajustar las configuraciones de autorización para la acción 'katalogportal_shortcodePrinter'. Realizar auditorías de seguridad periódicas para identificar y mitigar vulnerabilidades similares.

Señales de detección

Señales de alerta pueden incluir accesos inusuales a la acción AJAX mencionada en los logs, así como intentos de acceso a información que no debería ser visible para usuarios con rol de suscriptor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.0.0 del plugin Katalogportal-pdf-sync. No se han confirmado otros escenarios adicionales.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

appointment-booking-calendar

Appointment Booking Calendar <= 1.4.02 - Missing Authorization to Authenticated (Contributor+) Sensitive Information Disclosure

MEDIUM PLUGIN

revslider

Slider Revolution 7.0 - 7.0.10 - Authenticated (Subscriber+) Sensitive Information Disclosure

MEDIUM PLUGIN

alba-board

Alba Board <= 2.1.3 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via 'card_id' Parameter

MEDIUM PLUGIN

feedzy-rss-feeds

RSS Aggregator by Feedzy <= 5.1.7 - Missing Authorization to Authenticated (Contributor+) Import Job Creation, Execution, Purge, Log Clearing, and Information Disclosure via Multiple AJAX Sub-Actions

MEDIUM PLUGIN

page-list

Page-list <= 6.2 - Missing Authorization to Authenticated (Contributor+) Sensitive Information Disclosure via Shortcode Attributes

MEDIUM PLUGIN

generateblocks

GenerateBlocks <= 2.1.0 - Authenticated (Contributor+) Information Disclosure

MEDIUM PLUGIN

soliloquy-lite

Slider by Soliloquy <= 2.8.1 - Authenticated (Subscriber+) Information Disclosure via REST API Endpoint

MEDIUM PLUGIN

kirki

Kirki <= 6.0.6 - Missing Authorization to Authenticated (Subscriber+) Sensitive Form Submission Data Exposure via 'kirki_wp_admin_get_apis' Action

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto