Fuente base de datos: Wordfence Intelligence

Wishlist Member <= 3.30.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Plugin Options Update via 'wishlistmember_team_accounts_save_settings' AJAX action en Wishlist Member X (falta de autorizacion)

PLUGIN HIGH CVE-2026-6897

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Wishlist Member hasta la versión 3.30.1, que permite actualizaciones arbitrarias de opciones del plugin sin la debida autorización. Esto puede comprometer la integridad del sitio y la seguridad de los datos.

Contexto técnico

El fallo se origina en la acción AJAX 'wishlistmember_team_accounts_save_settings', donde no se verifica adecuadamente la autorización del usuario. Esto permite que cualquier usuario autenticado con rol de suscriptor o superior realice cambios no autorizados en la configuración del plugin.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante modificar configuraciones críticas del plugin, afectando la funcionalidad del sitio y potencialmente exponiendo datos sensibles. Esto puede resultar en pérdida de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

La vulnerabilidad se puede explotar enviando solicitudes AJAX maliciosas a la acción mencionada, aprovechando la falta de controles de autorización.

Mitigación recomendada

Actualizar el plugin Wishlist Member a la versión 3.30.1 o posterior. Revisar y ajustar las configuraciones de usuario para limitar el acceso a roles necesarios. Implementar controles adicionales de seguridad, como la verificación de nonce en las solicitudes AJAX.

Señales de detección

Monitorizar logs de acceso para detectar solicitudes AJAX inusuales y revisar cambios en la configuración del plugin que no correspondan a acciones autorizadas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.30.1. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

HIGH PLUGIN

wishlist-member-x