Fuente base de datos: Wordfence Intelligence

ProfileGrid <= 5.9.8.4 - Missing Authorization to Authenticated (Subscriber+) Group Settings Modification en Profilegrid User Profiles Groups AND Communities (falta de autorizacion) - version 5.9.8.5

PLUGIN MEDIUM CVE-2026-4607

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin ProfileGrid (versiones hasta 5.9.8.4) que permite a usuarios autenticados con rol de suscriptor y superior modificar configuraciones de grupos sin la autorización adecuada. Esto podría comprometer la integridad de la configuración del sitio y la privacidad de los usuarios.

Contexto técnico

El fallo se origina en la falta de controles de autorización en las configuraciones de grupos dentro del plugin ProfileGrid. Esto permite que usuarios autenticados, que deberían tener permisos limitados, realicen cambios en la configuración de grupos, afectando la seguridad del sistema.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante modificar configuraciones críticas, lo que podría resultar en la exposición de datos sensibles o en la alteración del comportamiento del sitio. Esto no solo afecta la seguridad, sino también la confianza del usuario y la reputación del negocio.

Vector de explotación

La vulnerabilidad se puede explotar mediante el acceso a la interfaz de administración del plugin, donde un usuario autenticado puede realizar cambios no autorizados en la configuración de grupos.

Mitigación recomendada

Actualizar el plugin ProfileGrid a la versión 5.9.8.5 o superior para corregir la vulnerabilidad. Revisar y ajustar los permisos de usuario para asegurarse de que solo los roles adecuados tengan acceso a la configuración de grupos. Implementar auditorías regulares de seguridad para detectar cambios no autorizados en la configuración.

Señales de detección

Buscar en los logs de acceso intentos de modificación de configuraciones por usuarios con roles no autorizados, así como cambios inesperados en la configuración de grupos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.9.8.5 del plugin ProfileGrid. No se han confirmado otros escenarios de explotación fuera de este contexto.