Fuente base de datos: Wordfence Intelligence

Job Portal <= 2.5.4 - Authenticated (Subscriber+) Insecure Direct Object Reference to Email Disclosure en WP JOB Portal (Insecure Direct Object Reference (IDOR)) - version 2.5.5

PLUGIN MEDIUM CVE-2026-12397

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin WP Job Portal, que permite a usuarios autenticados (nivel Subscriber o superior) acceder a direcciones de correo electrónico de otros usuarios. Esta falla puede comprometer la privacidad de los datos y la seguridad operativa del sitio.

Contexto técnico

La vulnerabilidad se manifiesta a través de referencias directas a objetos inseguros, permitiendo a los atacantes acceder a información sensible sin la debida autorización. Se requiere que el atacante esté autenticado en el sistema con un rol de Subscriber o superior para explotar esta debilidad.

Impacto potencial

El impacto en el negocio puede ser significativo, ya que la divulgación no autorizada de correos electrónicos puede llevar a ataques de phishing y dañar la reputación de la empresa. Además, se pone en riesgo la confianza de los usuarios en la plataforma.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la manipulación de parámetros en las solicitudes, lo que permite a un usuario autenticado acceder a información que no debería estar a su alcance.

Mitigación recomendada

Actualizar el plugin WP Job Portal a la versión 2.5.5 o superior para cerrar la vulnerabilidad. Revisar los permisos de usuario y roles para asegurarse de que solo los usuarios autorizados tengan acceso a información sensible. Implementar medidas de seguridad adicionales, como la validación de acceso a objetos y auditorías de seguridad periódicas.

Señales de detección

Señales que pueden indicar explotación incluyen accesos inusuales a direcciones de correo electrónico en los logs y cambios en la configuración de permisos de usuario.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.5.5 del plugin WP Job Portal. No se han confirmado casos de explotación en versiones posteriores.