Fuente base de datos: Wordfence Intelligence

RSS Aggregator by Feedzy <= 5.1.7 - Missing Authorization to Authenticated (Contributor+) Import Job Creation, Execution, Purge, Log Clearing, and Information Disclosure via Multiple AJAX Sub-Actions en Feedzy RSS Feeds (falta de autorizacion) - version 5.1.8

PLUGIN MEDIUM CVE-2026-8976

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Feedzy RSS Feeds hasta la versión 5.1.7, que permite la creación y ejecución de trabajos de importación sin la autorización adecuada. Esto puede resultar en la divulgación de información sensible y afectar la seguridad operativa del sitio.

Contexto técnico

El fallo se origina en múltiples sub-acciones AJAX que no requieren la autenticación adecuada para realizar tareas críticas como la creación y ejecución de trabajos de importación. Esto expone a los sitios a ataques que pueden comprometer datos y configuraciones.

Impacto potencial

La falta de autorización en este componente puede permitir a un atacante autenticado acceder a funciones administrativas, lo que podría resultar en la pérdida de datos o la exposición de información sensible. Esto puede tener repercusiones negativas en la reputación y la confianza del negocio.

Vector de explotación

La explotación típicamente ocurre a través de solicitudes AJAX maliciosas realizadas por un usuario autenticado que no tiene los permisos necesarios para ejecutar ciertas acciones dentro del plugin.

Mitigación recomendada

Actualizar el plugin Feedzy RSS Feeds a la versión 5.1.8 o superior para corregir la vulnerabilidad. Revisar y ajustar los permisos de usuario para limitar el acceso a funciones críticas. Implementar medidas de seguridad adicionales, como la autenticación de dos factores para usuarios con privilegios elevados.

Señales de detección

Revisar los logs de acceso para detectar solicitudes inusuales a las sub-acciones AJAX del plugin y verificar configuraciones que permitan la ejecución de trabajos sin la debida autorización.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.1.8 del plugin Feedzy RSS Feeds. No se han confirmado casos en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

alba-board

Alba Board <= 2.1.3 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via 'card_id' Parameter

MEDIUM PLUGIN

page-list

Page-list <= 6.2 - Missing Authorization to Authenticated (Contributor+) Sensitive Information Disclosure via Shortcode Attributes

MEDIUM PLUGIN

generateblocks

GenerateBlocks <= 2.1.0 - Authenticated (Contributor+) Information Disclosure

MEDIUM PLUGIN

soliloquy-lite

Slider by Soliloquy <= 2.8.1 - Authenticated (Subscriber+) Information Disclosure via REST API Endpoint

MEDIUM PLUGIN

kirki

Kirki <= 6.0.6 - Missing Authorization to Authenticated (Subscriber+) Sensitive Form Submission Data Exposure via 'kirki_wp_admin_get_apis' Action

MEDIUM PLUGIN

broadstreet

Broadstreet <= 1.53.1 - Authenticated (Subscriber+) Information Disclosure

MEDIUM PLUGIN

forminator

Forminator Forms <= 1.51.1 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via 'forminator_action' Parameter

MEDIUM PLUGIN

katalogportal-pdf-sync

Katalogportal-pdf-sync Widget <= 1.0.0 - Missing Authorization to Authenticated (Subscriber+) Information Disclosure via 'katalogportal_shortcodePrinter' AJAX Action

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto