Fuente base de datos: Wordfence Intelligence

Alba Board <= 2.1.3 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via 'card_id' Parameter (falta de autorizacion) - version 2.1.4

PLUGIN MEDIUM CVE-2026-7523

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Alba Board hasta la versión 2.1.3, que permite la divulgación de información sensible a usuarios autenticados con rol de suscriptor o superior. Este fallo podría comprometer la seguridad de datos críticos en tu sitio web.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada en el acceso a información sensible a través del parámetro 'card_id'. Esto permite que usuarios no autorizados accedan a datos que deberían ser restringidos, exponiendo así la superficie de ataque.

Impacto potencial

El impacto de esta vulnerabilidad puede ser considerable, ya que permite a usuarios con permisos mínimos acceder a información sensible, lo que podría llevar a un uso indebido de los datos y afectar la confianza de los usuarios en la plataforma.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante el envío de solicitudes manipuladas que incluyen el parámetro 'card_id', permitiendo la visualización de información que debería estar protegida.

Mitigación recomendada

Actualizar el plugin Alba Board a la versión 2.1.4 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y ajustar las configuraciones de acceso a información sensible. Realizar auditorías de seguridad periódicas para identificar y mitigar riesgos similares.

Señales de detección

Revisar los registros de acceso para detectar solicitudes inusuales que intenten acceder a información sensible mediante el parámetro 'card_id'.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Alba Board hasta la 2.1.3. No se han confirmado casos en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

feedzy-rss-feeds

RSS Aggregator by Feedzy <= 5.1.7 - Missing Authorization to Authenticated (Contributor+) Import Job Creation, Execution, Purge, Log Clearing, and Information Disclosure via Multiple AJAX Sub-Actions

MEDIUM PLUGIN

page-list

Page-list <= 6.2 - Missing Authorization to Authenticated (Contributor+) Sensitive Information Disclosure via Shortcode Attributes

MEDIUM PLUGIN

generateblocks

GenerateBlocks <= 2.1.0 - Authenticated (Contributor+) Information Disclosure

MEDIUM PLUGIN

soliloquy-lite

Slider by Soliloquy <= 2.8.1 - Authenticated (Subscriber+) Information Disclosure via REST API Endpoint

MEDIUM PLUGIN

kirki

Kirki <= 6.0.6 - Missing Authorization to Authenticated (Subscriber+) Sensitive Form Submission Data Exposure via 'kirki_wp_admin_get_apis' Action

MEDIUM PLUGIN

broadstreet

Broadstreet <= 1.53.1 - Authenticated (Subscriber+) Information Disclosure

MEDIUM PLUGIN

forminator

Forminator Forms <= 1.51.1 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via 'forminator_action' Parameter

MEDIUM PLUGIN

katalogportal-pdf-sync

Katalogportal-pdf-sync Widget <= 1.0.0 - Missing Authorization to Authenticated (Subscriber+) Information Disclosure via 'katalogportal_shortcodePrinter' AJAX Action

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto