Fuente base de datos: Wordfence Intelligence

Riaxe Product Customizer <= 2.4 - Unauthenticated Sensitive Information Disclosure via '/orders' REST API Endpoint (divulgacion de informacion)

PLUGIN MEDIUM CVE-2026-3594

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Riaxe Product Customizer que permite la divulgación no autenticada de información sensible a través del endpoint '/orders'. Esta falla, catalogada como de severidad media, puede comprometer datos críticos de los usuarios y afectar la integridad del sistema.

Contexto técnico

El fallo se origina en el endpoint REST API '/orders' del plugin Riaxe Product Customizer, que no requiere autenticación para acceder a información sensible. Esto permite a un atacante potencial obtener datos sin necesidad de credenciales, exponiendo así la superficie de ataque del sistema.

Impacto potencial

La divulgación de información sensible puede resultar en la exposición de datos personales de los usuarios, lo que podría llevar a fraudes o ataques dirigidos. Además, la reputación del negocio podría verse afectada negativamente, generando desconfianza entre los clientes.

Vector de explotación

La explotación de esta vulnerabilidad se puede realizar mediante solicitudes directas al endpoint REST API sin autenticación, lo que permite a un atacante acceder a información sensible sin restricciones.

Mitigación recomendada

Actualizar el plugin Riaxe Product Customizer a la versión 2.4 o superior para corregir la vulnerabilidad. Revisar y reforzar las configuraciones de seguridad de la API REST para limitar el acceso a información sensible. Implementar medidas de monitoreo para detectar accesos no autorizados a la API.

Señales de detección

Señales de riesgo incluyen solicitudes inusuales al endpoint '/orders' en los registros de acceso, así como intentos de acceder a datos sensibles sin autenticación previa.

Alcance afectado

Las versiones del plugin Riaxe Product Customizer hasta la 2.4 son vulnerables. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

HIGH PLUGIN

ar-for-wordpress

AR for WordPress <= 8.40 - Unauthenticated Arbitrary File Read via 'file' Parameter

MEDIUM PLUGIN

ninja-forms-uploads

Ninja Forms - File Uploads <= 3.3.29 - Missing Authorization to Unauthenticated Log Disclosure and Deletion via debug-log/delete-all and debug-log/get-all REST Endpoints

MEDIUM PLUGIN

motopress-appointment-lite

MotoPress Appointment Booking <= 2.4.4 - Unauthenticated Insecure Direct Object Reference to 'payment_details.booking_id' Parameter

MEDIUM PLUGIN

woo-multi-currency

CURCY <= 2.2.14 - Unauthenticated Arbitrary Shortcode Execution via 'exchange' Parameter

MEDIUM PLUGIN

latepoint

LatePoint <= 5.6.1 - Missing Authorization to Unauthenticated Arbitrary Customer Data Modification via process_step_customer() Booking Form Customer Step

CRITICAL PLUGIN

blocksy-companion

Blocksy Companion <= 2.1.46 - Unauthenticated Arbitrary File Upload via 'blc-review-images[]' Parameter

MEDIUM PLUGIN

academy

Academy LMS <= 3.8.1 - Unauthenticated Insecure Direct Object Reference to Private Topic Disclosure

MEDIUM PLUGIN

wappointment

Appointment Bookings for Zoom GoogleMeet and more – Wappointment <= 2.7.6 - Unauthenticated Insecure Direct Object Reference via Predictable 'edit_key' / 'appointmentkey' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto