Fuente base de datos: Wordfence Intelligence

Widgets for Social Photo Feed <= 1.8 - Missing Authentication to Unauthenticated Plugin Settings Access/Update via trustindex_feed_hook_instagram REST API endpoints en Social Photo Feed Widget (vulnerabilidad) - version 1.8.1

PLUGIN MEDIUM CVE-2025-14726

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'Widgets for Social Photo Feed' que permite el acceso no autenticado a la configuración del plugin. Esto puede comprometer la seguridad del sitio al permitir modificaciones no autorizadas en la configuración.

Contexto técnico

El fallo se origina en el acceso no autenticado a los endpoints de la API REST trustindex_feed_hook_instagram, lo que permite a los atacantes modificar configuraciones sin necesidad de autenticación previa.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir la alteración de la configuración del plugin, lo que podría llevar a la exposición de datos sensibles o a la manipulación del contenido mostrado en el sitio web, afectando la integridad y la confianza del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes a los endpoints de la API REST sin autenticación, lo que les permite acceder y modificar la configuración del plugin.

Mitigación recomendada

Actualizar el plugin a la versión 1.8.1 o superior para corregir la vulnerabilidad. Revisar y ajustar los permisos de acceso a la configuración del plugin. Implementar medidas de seguridad adicionales, como la autenticación en dos pasos y firewalls de aplicaciones web.

Señales de detección

Monitorear los registros de acceso en busca de solicitudes inusuales a los endpoints de la API REST del plugin, así como cambios no autorizados en la configuración.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin 'Widgets for Social Photo Feed' hasta la 1.8. Se recomienda a los usuarios de versiones anteriores actualizar de inmediato.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

user-registration-advanced-fields

User Registration Advanced Fields <= 1.6.20 - Unauthenticated Arbitrary File Upload

CRITICAL PLUGIN

user-verification

User Verification by PickPlugins <= 2.0.46 - Unauthenticated Authentication Bypass via OTP Verification REST API Endpoint

MEDIUM PLUGIN

my-social-feeds

My Social Feeds <= 1.0.4 - Missing Authorization to Unauthenticated Sensitive Information Exposure via 'ttp_get_accounts' AJAX Action

HIGH PLUGIN

profile-builder-pro

Profile Builder Pro <= 3.14.5 - Unauthenticated PHP Object Injection

MEDIUM PLUGIN

fundpress

FundPress <= 2.0.8 - Missing Authorization to Unauthenticated Arbitrary Donation Status Modification via donate_action_status AJAX Handler

MEDIUM PLUGIN

royal-elementor-addons

Royal Addons for Elementor <= 1.7.1056 - Missing Authorization to Unauthenticated Form Action Meta Modification

CRITICAL PLUGIN

temporary-login

Temporary Login <= 1.0.0 - Authentication Bypass to Account Takeover

MEDIUM PLUGIN

boldgrid-backup

Total Upkeep <= 1.17.1 - Missing Authorization to Unauthenticated Rollback Cancellation

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto