Widgets for Social Photo Feed <= 1.8 - Missing Authentication to Unauthenticated Plugin Settings Access/Update via trustindex_feed_hook_instagram REST API endpoints en Social Photo Feed Widget (vulnerabilidad) - version 1.8.1

PLUGIN MEDIUM CVE-2025-14726

Datos técnicos procedentes de Wordfence Intelligence. Análisis y contenido explicativo elaborados por SeguridadWP mediante un proceso editorial asistido por IA. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'Widgets for Social Photo Feed' que permite el acceso no autenticado a la configuración del plugin. Esto puede comprometer la seguridad del sitio al permitir modificaciones no autorizadas en la configuración.

Contexto técnico

El fallo se origina en el acceso no autenticado a los endpoints de la API REST trustindex_feed_hook_instagram, lo que permite a los atacantes modificar configuraciones sin necesidad de autenticación previa.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir la alteración de la configuración del plugin, lo que podría llevar a la exposición de datos sensibles o a la manipulación del contenido mostrado en el sitio web, afectando la integridad y la confianza del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes a los endpoints de la API REST sin autenticación, lo que les permite acceder y modificar la configuración del plugin.

Mitigación recomendada

Actualizar el plugin a la versión 1.8.1 o superior para corregir la vulnerabilidad. Revisar y ajustar los permisos de acceso a la configuración del plugin. Implementar medidas de seguridad adicionales, como la autenticación en dos pasos y firewalls de aplicaciones web.

Señales de detección

Monitorear los registros de acceso en busca de solicitudes inusuales a los endpoints de la API REST del plugin, así como cambios no autorizados en la configuración.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin 'Widgets for Social Photo Feed' hasta la 1.8. Se recomienda a los usuarios de versiones anteriores actualizar de inmediato.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

profile-builder

User Profile Builder <= 3.16.4 - Unauthenticated Authentication Bypass via Type Confusion to Administrator Account Takeover via 'username' Parameter

CRITICAL PLUGIN

truebooker-appointment-booking

TrueBooker <= 1.2.6 - Unauthenticated Account Takeover via Insecure Direct Object Reference in 'truebooker_wp_user_id' Parameter

CRITICAL PLUGIN

link-library

Link Library <= 7.9.4 - Unauthenticated Arbitrary File Deletion via link_url Parameter

CRITICAL PLUGIN

rapisafe-multi-file-cf7

RapiSafe <= 1.0.4 - Unauthenticated Arbitrary File Deletion via 'rsmfcf7_session' and 'file_name' Parameters

CRITICAL PLUGIN

6storage-rentals

6Storage Rentals <= 2.27.0 - Unauthenticated Account Takeover via 'email' Parameter

MEDIUM PLUGIN

booking-calendar

Booking calendar, Appointment Booking System <= 3.2.36 - Missing Authorization to Unauthenticated Arbitrary Modification via wpdevart_payment AJAX Action

HIGH PLUGIN

maxupload-upload-larger-files-easily

MaxUpload <= 1.4.0 - Unauthenticated Arbitrary File Upload via 'resumableFilename' Parameter

MEDIUM PLUGIN

booking-system

Pinpoint Booking System <= 2.9.9.6.8 - Unauthenticated Improper Input Validation to Price Manipulation via 'cart_data' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto