RegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login < 6.0.9.4 - Unauthenticated Insecure Direct Object Reference en Custom Registration Form Builder With Submission Manager (vulnerabilidad)

PLUGIN MEDIUM CVE-2026-15255

Datos técnicos procedentes de Wordfence Intelligence. Análisis y contenido explicativo elaborados por SeguridadWP mediante un proceso editorial asistido por IA. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo 'authbypass' en el plugin RegistrationMagic, que afecta a versiones anteriores a la 6.0.9.4. Esta falla permite referencias directas a objetos inseguros, lo que podría comprometer la integridad de los datos del usuario y la seguridad del sitio.

Contexto técnico

La vulnerabilidad se origina en el uso inadecuado de referencias a objetos sin autenticación, lo que permite a un atacante acceder a información sensible sin las credenciales adecuadas. El vector de ataque se centra en las solicitudes HTTP no autenticadas que manipulan parámetros de entrada.

Impacto potencial

El impacto en la seguridad del negocio puede ser significativo, ya que un atacante podría obtener acceso no autorizado a datos de usuarios, afectando la confianza y la reputación del sitio. Además, la exposición a este tipo de vulnerabilidad puede resultar en la pérdida de datos y posibles sanciones por incumplimiento normativo.

Vector de explotación

La explotación de esta vulnerabilidad generalmente implica el envío de solicitudes manipuladas a la API del plugin, lo que permite acceder a recursos restringidos sin autenticación.

Mitigación recomendada

Actualizar el plugin RegistrationMagic a la versión 6.0.9.4 o superior. Revisar y reforzar las políticas de autenticación y autorización en el sitio web. Implementar controles de acceso más estrictos para las funciones críticas del plugin.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales a endpoints del plugin, intentos de acceso a recursos restringidos sin autenticación y cambios inesperados en los datos de usuario.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 6.0.9.4 del plugin RegistrationMagic. No se han confirmado casos de explotación en versiones posteriores.