Fuente base de datos: Wordfence Intelligence

Complianz – GDPR/CCPA Cookie Consent <= 7.4.5 - Missing Authorization to Unauthenticated Private Post Content Disclosure via Consent Area REST Endpoint en Complianz Gdpr (falta de autorizacion) - version 7.4.6

PLUGIN MEDIUM CVE-2026-4019

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Complianz – GDPR/CCPA que permite la divulgación no autorizada de contenido privado a través de un endpoint REST. Esta falla de autenticación puede comprometer la privacidad de los datos y la seguridad de la información sensible de los usuarios.

Contexto técnico

El fallo se presenta en el endpoint REST del área de consentimiento del plugin, donde se permite el acceso a contenido privado sin requerir autenticación. Esto puede ser explotado por atacantes que buscan acceder a información sensible de publicaciones privadas.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la exposición de contenido privado, afectando la confianza del usuario y la reputación del negocio. Además, puede llevar a incumplimientos normativos relacionados con la protección de datos.

Vector de explotación

Los atacantes pueden enviar solicitudes al endpoint REST del plugin sin autenticarse, lo que les permite acceder a contenido que debería estar restringido.

Mitigación recomendada

Actualizar el plugin Complianz – GDPR/CCPA a la versión 7.4.6 o superior para corregir la vulnerabilidad. Revisar y restringir el acceso a los endpoints REST no autenticados en la configuración del plugin. Implementar medidas de seguridad adicionales, como autenticación multifactor y auditorías regulares de seguridad.

Señales de detección

Monitorear los logs de acceso para detectar solicitudes inusuales al endpoint REST del plugin y verificar configuraciones de acceso que no deberían estar permitidas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 7.4.6. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

logtivity

Activity Logs, User Activity Tracking, Multisite Activity Log from Logtivity <= 3.3.6 - Unauthenticated Information Disclosure via REST API

MEDIUM PLUGIN

latepoint

LatePoint <= 5.5.0 - Unauthenticated Account Takeover via Weak Password Recovery Mechanism

MEDIUM PLUGIN

simply-schedule-appointments

Appointment Booking Calendar <= 1.6.10.6 - Unauthenticated Arbitrary Appointment View, Modification and Deletion

CRITICAL PLUGIN

geeky-bot

GeekyBot <= 1.2.2 - Missing Authorization to Unauthenticated Arbitrary Plugin Installation via 'geekybot_frontendajax' AJAX Action

MEDIUM PLUGIN

elementskit-lite

ElementsKit Elementor Addons <= 3.8.2 - Missing Authorization to Unauthenticated Widget Content Overwrite

MEDIUM PLUGIN

forminator

Forminator – Contact Form, Payment Form & Custom Form Builder <= 1.52.0 - Missing Authorization to Unauthenticated Stripe PaymentIntent Reuse / Underpayment Bypass via 'paymentid' Parameter

HIGH PLUGIN

forminator

Forminator Forms – Contact Form, Payment Form & Custom Form Builder <= 1.52.1 - Unauthenticated Arbitrary File Read via 'upload-1[file][file_path]'

CRITICAL PLUGIN

smart-wishlist-for-more-convert-premium

MoreConvert Pro <= 1.9.14 - Authentication Bypass via Waitlist Guest Verification Token Reuse

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto