Fuente base de datos: Wordfence Intelligence

Klamra Paycal for Aspaclaria <= 1.1.4 - Insecure Direct Object Reference to Authenticated (Subscriber+) Sensitive Information Exposure via 'invoice_id' Parameter (Insecure Direct Object Reference (IDOR)) - version 1.1.5

PLUGIN MEDIUM CVE-2026-8611

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin Klamra Paycal para Aspaclaria, que permite el acceso no autorizado a información sensible de usuarios autenticados. Esta falla, con severidad media, puede comprometer la privacidad de los datos y afectar la confianza de los usuarios.

Contexto técnico

La vulnerabilidad se produce debido a una referencia directa a objetos inseguros a través del parámetro 'invoice_id'. Esto permite a los usuarios con rol de suscriptor o superior acceder a información sensible que no debería estar a su alcance.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir la exposición de datos sensibles de usuarios, lo que podría resultar en violaciones de privacidad y daños a la reputación de la organización. Además, podría llevar a sanciones por incumplimiento de normativas de protección de datos.

Vector de explotación

Un atacante autenticado podría manipular el parámetro 'invoice_id' para acceder a facturas de otros usuarios, exponiendo así información confidencial.

Mitigación recomendada

Actualizar el plugin Klamra Paycal a la versión 1.1.5 o superior para cerrar la vulnerabilidad. Revisar los permisos de acceso a la información sensible para asegurar que solo los usuarios autorizados puedan acceder a ella. Implementar controles adicionales para validar y sanitizar los parámetros de entrada en las solicitudes.

Señales de detección

Revisar los logs de acceso para identificar patrones inusuales de acceso a datos de facturas y verificar configuraciones de permisos de usuario.

Alcance afectado

Las versiones del plugin Klamra Paycal para Aspaclaria hasta la 1.1.4 son vulnerables. No se han reportado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

charitable

Charitable <= 1.8.11.1 - Authenticated (Subscriber+) Insecure Direct Object Reference to Arbitrary Attachment Deletion via 'avatar' Parameter

MEDIUM PLUGIN

mp-timetable

Timetable and Event Schedule by MotoPress <= 2.4.16 - Insecure Direct Object Reference to Authenticated (Contributor+) Sensitive Information Exposure via action_get_event_data Function

MEDIUM PLUGIN

display-a-meta-field-as-block

Meta Field Block <= 1.5.1 - Insecure Direct Object Reference to Authenticated (Contributor+) Arbitrary User Meta Exposure

MEDIUM PLUGIN

user-registration

User Registration & Membership <= 5.1.5 - Authenticated (Subscriber+) Insecure Direct Object Reference to Arbitrary Media Deletion via 'profile-pic-url' Parameter

MEDIUM PLUGIN

wordpress-seo

Yoast SEO <= 26.5 - Insecure Direct Object Reference to Authenticated (Contributor+) Sensitive Information Exposure via 'post_id' Parameter

MEDIUM PLUGIN

nextgen-gallery

Photo Gallery, Sliders, Proofing and Themes <= 4.2.0 - Insecure Direct Object Reference to Authenticated (Subscriber+) Image Deletion via REST API

MEDIUM PLUGIN

tutor

Tutor LMS <= 3.9.9 - Insecure Direct Object Reference to Authenticated (Instructor+) Arbitrary Post Deletion via 'course' GET Parameter

MEDIUM PLUGIN

generateblocks

GenerateBlocks <= 2.2.0 - Insecure Direct Object Reference to Authenticated (Contributor+) Sensitive Information Exposure via Dynamic Tag Replacements

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto