Klamra Paycal for Aspaclaria <= 1.1.4 - Insecure Direct Object Reference to Authenticated (Subscriber+) Sensitive Information Exposure via 'invoice_id' Parameter (Insecure Direct Object Reference (IDOR)) - version 1.1.5

PLUGIN MEDIUM CVE-2026-8611

Datos técnicos procedentes de Wordfence Intelligence. Análisis y contenido explicativo elaborados por SeguridadWP mediante un proceso editorial asistido por IA. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin Klamra Paycal para Aspaclaria, que permite el acceso no autorizado a información sensible de usuarios autenticados. Esta falla, con severidad media, puede comprometer la privacidad de los datos y afectar la confianza de los usuarios.

Contexto técnico

La vulnerabilidad se produce debido a una referencia directa a objetos inseguros a través del parámetro 'invoice_id'. Esto permite a los usuarios con rol de suscriptor o superior acceder a información sensible que no debería estar a su alcance.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir la exposición de datos sensibles de usuarios, lo que podría resultar en violaciones de privacidad y daños a la reputación de la organización. Además, podría llevar a sanciones por incumplimiento de normativas de protección de datos.

Vector de explotación

Un atacante autenticado podría manipular el parámetro 'invoice_id' para acceder a facturas de otros usuarios, exponiendo así información confidencial.

Mitigación recomendada

Actualizar el plugin Klamra Paycal a la versión 1.1.5 o superior para cerrar la vulnerabilidad. Revisar los permisos de acceso a la información sensible para asegurar que solo los usuarios autorizados puedan acceder a ella. Implementar controles adicionales para validar y sanitizar los parámetros de entrada en las solicitudes.

Señales de detección

Revisar los logs de acceso para identificar patrones inusuales de acceso a datos de facturas y verificar configuraciones de permisos de usuario.

Alcance afectado

Las versiones del plugin Klamra Paycal para Aspaclaria hasta la 1.1.4 son vulnerables. No se han reportado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

groundhogg

Groundhogg — CRM, Newsletters, and Marketing Automation <= 4.5.2 - Insecure Direct Object Reference

MEDIUM PLUGIN

profilegrid-user-profiles-groups-and-communities

ProfileGrid – User Profiles, Groups and Communities < 5.9.9.8 - Authenticated (Subscriber+) Insecure Direct Object Reference

MEDIUM PLUGIN

meta-box

Meta Box < 5.13.1 - Authenticated (Contributor+) Insecure Direct Object Reference

MEDIUM PLUGIN

fluent-boards

FluentBoards – Project Management, Task Management, Goal Tracking, Kanban Board, and, Team Collaboration < 1.95.3 - Authenticated (Subscriber+) Insecure Direct Object Reference

MEDIUM PLUGIN

event-tickets

Event Tickets and Registration < 5.29.0.1 - Authenticated (Contributor+) Insecure Direct Object Reference

MEDIUM PLUGIN

fluent-support

Fluent Support – Helpdesk & Customer Support Ticket System < 2.3.1 - Authenticated (Custom role+) Insecure Direct Object Reference

MEDIUM PLUGIN

metronet-profile-picture

User Profile Picture <= 2.6.3 - Authenticated (Author+) Insecure Direct Object Reference

MEDIUM PLUGIN

wp-travel

WP Travel – Ultimate Travel Booking System, Tour Management Engine < 11.8.1 - Authenticated (Subscriber+) Insecure Direct Object Reference

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto