Complianz – GDPR/CCPA Cookie Consent <= 7.4.5 - Missing Authorization to Unauthenticated Private Post Content Disclosure via Consent Area REST Endpoint en Complianz Gdpr (falta de autorizacion) - version 7.4.6

PLUGIN MEDIUM CVE-2026-4019

Datos técnicos procedentes de Wordfence Intelligence. Análisis y contenido explicativo elaborados por SeguridadWP mediante un proceso editorial asistido por IA. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Complianz – GDPR/CCPA que permite la divulgación no autorizada de contenido privado a través de un endpoint REST. Esta falla de autenticación puede comprometer la privacidad de los datos y la seguridad de la información sensible de los usuarios.

Contexto técnico

El fallo se presenta en el endpoint REST del área de consentimiento del plugin, donde se permite el acceso a contenido privado sin requerir autenticación. Esto puede ser explotado por atacantes que buscan acceder a información sensible de publicaciones privadas.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la exposición de contenido privado, afectando la confianza del usuario y la reputación del negocio. Además, puede llevar a incumplimientos normativos relacionados con la protección de datos.

Vector de explotación

Los atacantes pueden enviar solicitudes al endpoint REST del plugin sin autenticarse, lo que les permite acceder a contenido que debería estar restringido.

Mitigación recomendada

Actualizar el plugin Complianz – GDPR/CCPA a la versión 7.4.6 o superior para corregir la vulnerabilidad. Revisar y restringir el acceso a los endpoints REST no autenticados en la configuración del plugin. Implementar medidas de seguridad adicionales, como autenticación multifactor y auditorías regulares de seguridad.

Señales de detección

Monitorear los logs de acceso para detectar solicitudes inusuales al endpoint REST del plugin y verificar configuraciones de acceso que no deberían estar permitidas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 7.4.6. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

profile-builder

User Profile Builder <= 3.16.4 - Unauthenticated Authentication Bypass via Type Confusion to Administrator Account Takeover via 'username' Parameter

CRITICAL PLUGIN

truebooker-appointment-booking

TrueBooker <= 1.2.6 - Unauthenticated Account Takeover via Insecure Direct Object Reference in 'truebooker_wp_user_id' Parameter

CRITICAL PLUGIN

link-library

Link Library <= 7.9.4 - Unauthenticated Arbitrary File Deletion via link_url Parameter

CRITICAL PLUGIN

rapisafe-multi-file-cf7

RapiSafe <= 1.0.4 - Unauthenticated Arbitrary File Deletion via 'rsmfcf7_session' and 'file_name' Parameters

CRITICAL PLUGIN

6storage-rentals

6Storage Rentals <= 2.27.0 - Unauthenticated Account Takeover via 'email' Parameter

MEDIUM PLUGIN

booking-calendar

Booking calendar, Appointment Booking System <= 3.2.36 - Missing Authorization to Unauthenticated Arbitrary Modification via wpdevart_payment AJAX Action

HIGH PLUGIN

maxupload-upload-larger-files-easily

MaxUpload <= 1.4.0 - Unauthenticated Arbitrary File Upload via 'resumableFilename' Parameter

MEDIUM PLUGIN

booking-system

Pinpoint Booking System <= 2.9.9.6.8 - Unauthenticated Improper Input Validation to Price Manipulation via 'cart_data' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto