Fuente base de datos: Wordfence Intelligence

CF7 to Webhook <= 5.0.0 - Unauthenticated Server-Side Request Forgery via CF7 Field Placeholder in Webhook URL Host en CF7 TO Zapier (Server-Side Request Forgery (SSRF)) - version 5.0.1

PLUGIN HIGH CVE-2026-11395

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el plugin CF7 to Zapier, afectando a versiones hasta la 5.0.0. Esta falla permite a atacantes no autenticados realizar solicitudes maliciosas, lo que puede comprometer la seguridad del servidor y exponer datos sensibles.

Contexto técnico

El fallo reside en la forma en que el plugin maneja los placeholders de campos en las URLs de webhook. Esto permite que un atacante manipule el webhook para enviar solicitudes a cualquier dirección interna o externa, facilitando el acceso no autorizado a recursos del servidor.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante realizar acciones no autorizadas en el servidor, lo que podría llevar a la divulgación de información sensible o a la ejecución de comandos maliciosos. Esto pone en riesgo la integridad y confidencialidad de los datos gestionados por la instalación de WordPress.

Vector de explotación

La explotación se realiza mediante la manipulación de los campos de formulario de CF7 para inyectar URLs maliciosas en los webhooks, lo que permite al atacante realizar solicitudes no autorizadas.

Mitigación recomendada

Actualizar el plugin CF7 to Zapier a la versión 5.0.1 o superior. Revisar y restringir los permisos de acceso a los webhooks configurados. Implementar medidas de seguridad adicionales, como firewalls y reglas de acceso, para mitigar el riesgo de SSRF.

Señales de detección

Revisar los logs del servidor en busca de solicitudes inusuales o no autorizadas a través de los webhooks. También se debe vigilar la configuración de los webhooks en busca de patrones sospechosos.

Alcance afectado

Las versiones afectadas por esta vulnerabilidad son todas las anteriores a la 5.0.1. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

HIGH PLUGIN

essential-blocks

Gutenberg Essential Blocks – Page Builder for Gutenberg Blocks & Patterns <= 6.1.3 - Authenticated (Author+) Server-Side Request Forgery

MEDIUM PLUGIN

independent-analytics

Independent Analytics <= 2.14.9 - Unauthenticated Server-Side Request Forgery via Tracking Route

MEDIUM PLUGIN

fluent-crm

FluentCRM <= 2.9.87 - Unauthenticated Blind Server-Side Request Forgery via 'SubscribeURL' Parameter

MEDIUM PLUGIN

nexa-blocks

Nexa Blocks <= 1.1.1 - Unauthenticated Blind Server-Side Request Forgery via 'demo_json_file' Parameter

MEDIUM PLUGIN

gutenverse

Gutenverse – Ultimate WordPress FSE Blocks Addons & Ecosystem <= 3.5.3 - Authenticated (Contributor+) Server-Side Request Forgery via 'imageUrl'

MEDIUM THEME

ona

Ona <= 1.26 - Authenticated (Administrator+) Blind Server-Side Request Forgery via 'download_link' Parameter

HIGH PLUGIN

pixelyoursite-pro

PixelYourSite Pro <= 12.5.0.1 - Unauthenticated Blind Server-Side Request Forgery via 'urls[]' Parameter

HIGH PLUGIN

royal-elementor-addons

Royal Addons for Elementor <= 1.7.1057 - Authenticated (Contributor+) Server-Side Request Forgery via CSV URL Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto