Fuente base de datos: Wordfence Intelligence

Kadence Blocks <= 3.7.7 - Missing Authorization to Authenticated (Contributor+) Arbitrary Media Attachment Creation via kadence_import_process_pattern/kadence_import_process_data AJAX Actions (falta de autorizacion) - version 3.7.8

PLUGIN MEDIUM CVE-2026-12902

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

La extensión Kadence Blocks hasta la versión 3.7.7 presenta una vulnerabilidad que permite la creación arbitraria de archivos multimedia sin la autorización adecuada. Esto puede comprometer la integridad del sitio y permitir la carga de contenido no deseado.

Contexto técnico

El fallo se origina en las acciones AJAX 'kadence_import_process_pattern' y 'kadence_import_process_data', donde no se verifica adecuadamente la autorización de los usuarios autenticados con rol de contribuyente o superior. Esto expone el sitio a ataques que pueden aprovechar esta falta de control.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante cargar archivos multimedia maliciosos, lo que podría resultar en la alteración del contenido del sitio y potencialmente en la ejecución de código no autorizado. El impacto en la reputación y la seguridad del negocio puede ser significativo.

Vector de explotación

Generalmente, la vulnerabilidad se explota enviando solicitudes AJAX manipuladas para crear archivos multimedia sin la debida autorización, aprovechando el rol de usuario comprometido.

Mitigación recomendada

Actualizar el plugin Kadence Blocks a la versión 3.7.8 o superior para mitigar la vulnerabilidad. Revisar los registros de actividad para identificar cualquier carga de medios no autorizada. Implementar controles adicionales de autorización en las funciones AJAX relacionadas.

Señales de detección

Señales de riesgo incluyen registros de carga de archivos multimedia inusuales o solicitudes AJAX no autorizadas en los logs del servidor.

Alcance afectado

Las versiones afectadas son todas las versiones de Kadence Blocks hasta la 3.7.7. No se han confirmado otros escenarios fuera de esta versión.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

kadence-blocks