Fuente base de datos: Wordfence Intelligence

Import and export users and customers <= 2.4.0 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Exposure via email_template_selected AJAX Action en Import Users From CSV With Meta (falta de autorizacion) - version 2.4.1

PLUGIN MEDIUM CVE-2026-15026

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'Importar y exportar usuarios y clientes' en versiones hasta 2.4.0, que permite la exposición de información sensible a través de la acción AJAX 'email_template_selected'. Esto puede comprometer la seguridad de los datos de los usuarios registrados.

Contexto técnico

El fallo se origina en una falta de autorización para acceder a información sensible mediante la acción AJAX mencionada. Los usuarios autenticados con rol de suscriptor o superior pueden explotar esta vulnerabilidad para obtener datos que no deberían estar a su alcance.

Impacto potencial

La exposición de información sensible puede resultar en la divulgación no autorizada de datos personales de los usuarios, lo que podría afectar la reputación de la organización y generar problemas de cumplimiento normativo, como el RGPD.

Vector de explotación

La vulnerabilidad se puede explotar enviando solicitudes AJAX manipuladas a la acción 'email_template_selected' sin la debida autorización, lo que permite acceder a información sensible.

Mitigación recomendada

Actualizar el plugin a la versión 2.4.1 o superior para corregir la vulnerabilidad. Revisar los permisos de los roles de usuario para limitar el acceso a funciones críticas. Implementar medidas de seguridad adicionales, como la validación de nonce en las solicitudes AJAX.

Señales de detección

Revisar los registros de acceso para detectar solicitudes inusuales a la acción 'email_template_selected', así como configuraciones de permisos de usuario que permitan accesos no autorizados.

Alcance afectado

Las versiones del plugin 'Importar y exportar usuarios y clientes' hasta la 2.4.0 son vulnerables. La versión 2.4.1 ha solucionado este problema. No se han confirmado otros escenarios de explotación.