Fuente base de datos: Wordfence Intelligence

Static Block <= 2.2 - Insecure Direct Object Reference to Authenticated (Contributor+) Sensitive Information Disclosure via Shortcode 'id' Attribute (Insecure Direct Object Reference (IDOR))

PLUGIN MEDIUM CVE-2026-10780

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de referencia a objeto directo insegura (IDOR) en el plugin Static Block, que permite la divulgación de información sensible para usuarios autenticados con rol de colaborador o superior. Esta falla, catalogada con una severidad media, podría comprometer la seguridad de la información en tu sitio web.

Contexto técnico

La vulnerabilidad se presenta a través del atributo 'id' en los shortcodes del plugin Static Block, permitiendo a usuarios no autorizados acceder a información sensible de otros usuarios. Esto ocurre en versiones del plugin hasta la 2.2, donde la falta de control de acceso adecuado expone datos críticos.

Impacto potencial

La explotación de esta vulnerabilidad podría llevar a la divulgación no autorizada de información sensible, afectando la privacidad de los usuarios y la integridad del sitio. Esto puede resultar en daños a la reputación y posibles implicaciones legales para la organización.

Vector de explotación

La explotación se realiza mediante el uso de shortcodes con el atributo 'id' modificado para acceder a bloques de información que no deberían ser visibles para el usuario autenticado.

Mitigación recomendada

Actualizar el plugin Static Block a la versión 2.2 o superior. Revisar los permisos de usuario y asegurarse de que solo los roles adecuados tengan acceso a la información sensible. Realizar auditorías periódicas de seguridad para detectar configuraciones incorrectas.

Señales de detección

Monitorear los logs de acceso para identificar intentos de acceso a shortcodes con atributos 'id' inusuales o no autorizados.

Alcance afectado

Las versiones afectadas del plugin Static Block son todas las anteriores a la 2.2. No se han reportado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

masterstudy-lms-learning-management-system

MasterStudy LMS WordPress Plugin – for Online Courses and Education <= 3.7.14 - Insecure Direct Object Reference to Authenticated (Instructor+) Arbitrary Attachment Deletion

MEDIUM PLUGIN

woolentor-addons

ShopLentor <= 3.4.5 - Insecure Direct Object Reference to Authenticated (Contributor+) Sensitive Information Exposure via 'optionSection' Parameter

MEDIUM PLUGIN

paid-member-subscriptions

Paid Membership Subscriptions – Effortless Memberships, Recurring Payments & Content Restriction <= 3.0.7 - Insecure Direct Object Reference

MEDIUM PLUGIN

learning-management-system

Masteriyo LMS – LMS Course Builder, Quizzes & Certificates <= 2.3.1 - Authenticated (Subscriber+) Insecure Direct Object Reference

MEDIUM PLUGIN

woocommerce-products-slider

Product Slider, Product Grid, Product Masonry <= 1.13.62 - Authenticated (Contributor+) Insecure Direct Object Reference

MEDIUM PLUGIN

ninja-forms-excel-export

Ninja Forms - Excel Export <= 3.3.6 - Insecure Direct Object Reference to Authenticated (Subscriber+) Sensitive Data Disclosure via 'spreadsheet_export_form_id' Parameter

MEDIUM PLUGIN

academy

Academy LMS <= 3.8.0 - Authenticated (Subscriber+) Insecure Direct Object Reference via 'user_id' Parameter

MEDIUM PLUGIN

flowforms

FlowForms <= 1.1.1 - Authenticated (Contributor+) Insecure Direct Object Reference to Arbitrary Form Modification via REST API '/flowforms/v1/forms/{id}' Endpoints

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto