Fuente base de datos: Wordfence Intelligence
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.
Se ha identificado una vulnerabilidad crítica en el plugin Wishlist Member, que permite la divulgación de claves API y la escalación de privilegios para usuarios autenticados. Esta falla puede comprometer la seguridad de la instalación y permitir accesos no autorizados a funciones restringidas.
La vulnerabilidad se encuentra en la acción AJAX 'wlm3_get_screen', donde usuarios con rol de suscriptor o superior pueden acceder a claves secretas de la API sin la autorización adecuada. Esto se debe a una falta de control en los permisos de acceso, lo que expone la superficie de ataque a usuarios malintencionados.
El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante obtener información sensible y potencialmente escalar sus privilegios, afectando la integridad y confidencialidad de los datos en la plataforma. Esto podría resultar en accesos no autorizados a funciones administrativas y manipulación de datos.
La explotación se realiza mediante la invocación de la acción AJAX 'wlm3_get_screen' por parte de un usuario autenticado, lo que permite la divulgación de información crítica sin las debidas restricciones de permisos.
Actualizar el plugin Wishlist Member a la versión 3.31.0 o superior para corregir la vulnerabilidad. Revisar y ajustar los permisos de acceso de los usuarios para limitar el acceso a funciones críticas. Implementar medidas de monitoreo para detectar accesos inusuales a la API.
Monitorizar los registros de acceso para identificar llamadas sospechosas a la acción AJAX 'wlm3_get_screen' y cualquier acceso no autorizado a las claves de la API.
Las versiones afectadas son Wishlist Member hasta la 3.30.1. Se recomienda verificar si se utilizan versiones anteriores o si hay instalaciones con configuraciones similares que puedan estar expuestas.
wishlist-member-x
wishlist-member-x
¿Tu WordPress podría estar expuesto?
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un expertoGestiona el consentimiento por categoría según tus preferencias.
Imprescindibles para la navegación, seguridad y funcionamiento básico.
Nos ayuda a medir uso y rendimiento para mejorar contenidos y UX. Incluye un identificador anónimo de visitante para analizar navegación, formularios, chat y análisis WP.
Permite personalizar campañas y medir conversiones en canales externos.
Puedes cambiar o retirar el consentimiento en cualquier momento desde «Preferencias de cookies». Más información en la Política de cookies.