Fuente base de datos: Wordfence Intelligence

JoomSport <= 5.7.8 - Authenticated (Subscriber+) Missing Authorization to Arbitrary Group Deletion via season_groupdel AJAX action en Joomsport Sports League Results Management (falta de autorizacion) - version 5.7.9

PLUGIN MEDIUM CVE-2026-12133

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin JoomSport (versiones hasta 5.7.8) que permite a usuarios autenticados con rol de suscriptor eliminar grupos arbitrariamente. Esto puede comprometer la integridad de los datos y la gestión de grupos en la aplicación.

Contexto técnico

El fallo se origina en la acción AJAX 'season_groupdel', donde no se realiza una verificación adecuada de las autorizaciones. Esto permite que usuarios con privilegios limitados, como los suscriptores, lleven a cabo eliminaciones no autorizadas.

Impacto potencial

El riesgo principal radica en la posible eliminación de grupos, lo que puede afectar la operativa del sitio y la experiencia del usuario. La falta de control de acceso adecuado puede llevar a la pérdida de datos críticos y desorganización en la gestión de la liga deportiva.

Vector de explotación

La explotación de esta vulnerabilidad se lleva a cabo mediante el envío de peticiones AJAX manipuladas por un usuario autenticado que no debería tener permisos para realizar dicha acción.

Mitigación recomendada

Actualizar el plugin JoomSport a la versión 5.7.9 o superior para corregir la vulnerabilidad. Revisar los roles y permisos de los usuarios en la instalación de WordPress para asegurar que los suscriptores no tengan acceso a funciones críticas. Implementar medidas adicionales de seguridad, como la limitación de accesos a las acciones AJAX sensibles.

Señales de detección

Revisar los logs de acceso para detectar intentos inusuales de eliminación de grupos por parte de usuarios con rol de suscriptor. Monitorizar cambios inesperados en la configuración de grupos.

Alcance afectado

Las versiones del plugin JoomSport hasta la 5.7.8 son vulnerables. La versión 5.7.9 y posteriores no presentan este fallo. No se han confirmado otros escenarios de explotación fuera de las versiones mencionadas.