Fuente base de datos: Wordfence Intelligence

Widgets for Social Photo Feed <= 1.8 - Missing Authentication to Unauthenticated Plugin Settings Access/Update via trustindex_feed_hook_instagram REST API endpoints en Social Photo Feed Widget (vulnerabilidad) - version 1.8.1

PLUGIN MEDIUM CVE-2025-14726

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'Widgets for Social Photo Feed' que permite el acceso no autenticado a la configuración del plugin. Esto puede comprometer la seguridad del sitio al permitir modificaciones no autorizadas en la configuración.

Contexto técnico

El fallo se origina en el acceso no autenticado a los endpoints de la API REST trustindex_feed_hook_instagram, lo que permite a los atacantes modificar configuraciones sin necesidad de autenticación previa.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir la alteración de la configuración del plugin, lo que podría llevar a la exposición de datos sensibles o a la manipulación del contenido mostrado en el sitio web, afectando la integridad y la confianza del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes a los endpoints de la API REST sin autenticación, lo que les permite acceder y modificar la configuración del plugin.

Mitigación recomendada

Actualizar el plugin a la versión 1.8.1 o superior para corregir la vulnerabilidad. Revisar y ajustar los permisos de acceso a la configuración del plugin. Implementar medidas de seguridad adicionales, como la autenticación en dos pasos y firewalls de aplicaciones web.

Señales de detección

Monitorear los registros de acceso en busca de solicitudes inusuales a los endpoints de la API REST del plugin, así como cambios no autorizados en la configuración.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin 'Widgets for Social Photo Feed' hasta la 1.8. Se recomienda a los usuarios de versiones anteriores actualizar de inmediato.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

formgent

FormGent <= 1.9.2- Missing Authorization to Unauthenticated Arbitrary File Deletion via 'file_token' Parameter

MEDIUM PLUGIN

gutena-forms

Gutena Forms – Contact Form, Survey Form, Feedback Form, Booking Form, and Custom Form Builder <= 1.9.0 - Missing Authorization to Unauthenticated Arbitrary Form Entry Modification/Trash via process_bulk_action()

MEDIUM PLUGIN

pixelyoursite

PixelYourSite <= 11.2.1 - Unauthenticated Sensitive Information Exposure via Order-Received Endpoint Missing Key Validation

MEDIUM PLUGIN

pixelyoursite-pro

PixelYourSite <= 11.2.1 - Unauthenticated Sensitive Information Exposure via Order-Received Endpoint Missing Key Validation

HIGH PLUGIN

bit-integrations

Bit integrations <= 2.9.0 - Unauthenticated Arbitrary File Read via Optional CF7 File Field

CRITICAL PLUGIN

real-estate-listing-realtyna-wpl

Realtyna Organic IDX plugin + WPL Real Estate <= 5.2.0 - Unauthenticated Arbitrary File Upload via 'files[file]' Parameter via Public I/O 'set_property' Command

MEDIUM PLUGIN

mailerpress

MailerPress <= 1.5.0 - Missing Authorization to Unauthenticated Arbitrary Modification via REST API Endpoint

MEDIUM PLUGIN

mailerpress

MailPress <= 1.5.0 - Missing Authorization to Unauthenticated Contact Updates

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto