Masteriyo LMS <= 2.3.0 - Missing Authorization to Unauthenticated User Session Termination en Learning Management System (falta de autorizacion) - version 2.3.1

PLUGIN MEDIUM CVE-2026-13332

Datos técnicos procedentes de Wordfence Intelligence. Análisis y contenido explicativo elaborados por SeguridadWP mediante un proceso editorial asistido por IA. Contenido informativo. No se distribuye software.

Resumen ejecutivo

La versión 2.3.0 de Masteriyo LMS presenta una vulnerabilidad de tipo bypass de autorización que permite la terminación de sesiones de usuarios no autenticados. Esto puede comprometer la seguridad de la plataforma y afectar la integridad de los datos de los usuarios.

Contexto técnico

El fallo se origina en la gestión inadecuada de las sesiones de usuario, permitiendo a un atacante no autenticado finalizar sesiones activas sin autorización. La superficie de ataque se centra en las funciones de gestión de sesiones que no validan adecuadamente la autenticación del usuario.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante interrumpir el acceso de otros usuarios a la plataforma, lo que podría resultar en una pérdida de confianza y daños a la reputación del negocio. Además, la falta de control sobre las sesiones puede facilitar ataques adicionales.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante el envío de solicitudes maliciosas a las funciones de cierre de sesión sin la adecuada verificación de la autenticación del usuario.

Mitigación recomendada

Actualizar Masteriyo LMS a la versión 2.3.1 o superior para corregir la vulnerabilidad. Revisar las configuraciones de seguridad del plugin para asegurar que las sesiones se gestionan correctamente. Implementar medidas adicionales de monitoreo y registro para detectar accesos no autorizados.

Señales de detección

Revisar los logs de acceso para identificar intentos de cierre de sesión por parte de usuarios no autenticados y verificar la configuración de las sesiones en el plugin.

Alcance afectado

La vulnerabilidad afecta a la versión 2.3.0 de Masteriyo LMS. Se recomienda a los usuarios de versiones anteriores que actualicen inmediatamente, aunque no se han confirmado otros escenarios afectados.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

profile-builder

User Profile Builder <= 3.16.4 - Unauthenticated Authentication Bypass via Type Confusion to Administrator Account Takeover via 'username' Parameter

CRITICAL PLUGIN

truebooker-appointment-booking

TrueBooker <= 1.2.6 - Unauthenticated Account Takeover via Insecure Direct Object Reference in 'truebooker_wp_user_id' Parameter

CRITICAL PLUGIN

link-library

Link Library <= 7.9.4 - Unauthenticated Arbitrary File Deletion via link_url Parameter

CRITICAL PLUGIN

rapisafe-multi-file-cf7

RapiSafe <= 1.0.4 - Unauthenticated Arbitrary File Deletion via 'rsmfcf7_session' and 'file_name' Parameters

CRITICAL PLUGIN

6storage-rentals

6Storage Rentals <= 2.27.0 - Unauthenticated Account Takeover via 'email' Parameter

MEDIUM PLUGIN

booking-calendar

Booking calendar, Appointment Booking System <= 3.2.36 - Missing Authorization to Unauthenticated Arbitrary Modification via wpdevart_payment AJAX Action

HIGH PLUGIN

maxupload-upload-larger-files-easily

MaxUpload <= 1.4.0 - Unauthenticated Arbitrary File Upload via 'resumableFilename' Parameter

MEDIUM PLUGIN

booking-system

Pinpoint Booking System <= 2.9.9.6.8 - Unauthenticated Improper Input Validation to Price Manipulation via 'cart_data' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto