Fuente base de datos: Wordfence Intelligence

JoomSport <= 5.7.8 - Authenticated (Subscriber+) Missing Authorization to Arbitrary Group Creation/Modification via season_groupedit AJAX action en Joomsport Sports League Results Management (falta de autorizacion) - version 5.7.9

PLUGIN MEDIUM CVE-2026-12134

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en JoomSport (hasta la versión 5.7.8) que permite a usuarios autenticados crear y modificar grupos arbitrarios sin la autorización adecuada. Este fallo puede comprometer la integridad de la gestión de grupos en la plataforma, afectando la operación del sitio web.

Contexto técnico

El problema radica en la falta de autorización en la acción AJAX 'season_groupedit', lo que permite a usuarios con rol de suscriptor o superior realizar modificaciones no autorizadas en la gestión de grupos. Esto representa un vector de ataque directo a la funcionalidad del plugin.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante modificar la estructura de grupos, lo que podría resultar en la alteración de permisos y acceso a información sensible. Esto puede afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

La vulnerabilidad se puede explotar mediante solicitudes AJAX maliciosas realizadas por usuarios autenticados que tienen acceso al plugin, aprovechando la falta de controles de autorización.

Mitigación recomendada

Actualizar JoomSport a la versión 5.7.9 o superior para corregir la vulnerabilidad. Revisar y ajustar los permisos de usuario para asegurar que solo los roles adecuados tengan acceso a la gestión de grupos. Implementar medidas de monitoreo para detectar actividades inusuales en la gestión de grupos.

Señales de detección

Revisar los registros de actividad para detectar cambios no autorizados en grupos y solicitudes AJAX inusuales relacionadas con 'season_groupedit'.

Alcance afectado

Las versiones de JoomSport hasta la 5.7.8 están afectadas. No se han confirmado casos en versiones superiores a la 5.7.9.