Fuente base de datos: Wordfence Intelligence

Memberships and User Profiles for WooCommerce <= 3.4 - Missing Authorization to Authenticated (Subscriber+) ProfileGrid Plugin Installation and Activation en Ecommerce User Profiles BY Profilegrid - version 3.4.1

PLUGIN MEDIUM CVE-2026-11359

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'Memberships and User Profiles for WooCommerce' que permite la ejecución remota de código debido a una falta de autorización en la instalación y activación. Esta brecha de seguridad podría comprometer la integridad del sistema y los datos de los usuarios.

Contexto técnico

La vulnerabilidad se origina en el plugin ProfileGrid, específicamente en versiones hasta la 3.4. La falta de controles de autorización adecuados permite que usuarios autenticados con rol de suscriptor accedan a funciones que deberían estar restringidas, facilitando la ejecución remota de código.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código malicioso en el servidor, comprometiendo la seguridad de la plataforma y los datos de los usuarios. Esto puede resultar en pérdidas económicas y daños a la reputación de la empresa.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante el aprovechamiento de las funciones de instalación y activación del plugin, donde un usuario autenticado puede ejecutar código no autorizado.

Mitigación recomendada

Actualizar el plugin 'Memberships and User Profiles for WooCommerce' a la versión 3.4.1 o superior. Revisar los permisos de usuario y asegurarse de que solo los roles adecuados tengan acceso a funciones críticas. Implementar medidas de seguridad adicionales, como firewalls y monitoreo de actividad sospechosa.

Señales de detección

Señales a observar incluyen intentos inusuales de activación de plugins por usuarios con rol de suscriptor y registros de actividad que indiquen ejecución de código no autorizado.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.4.1 del plugin ProfileGrid. No se han confirmado casos en otras configuraciones o plugins relacionados.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

colissimo-shipping-methods-for-woocommerce

Colissimo Officiel : Méthodes de livraison pour WooCommerce <= 2.9.0 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Order Shipment Modification via lpc_order_affect AJAX action

MEDIUM PLUGIN

corvuspay-woocommerce-integration

CorvusPay WooCommerce Payment Gateway <= 2.7.4 - Unauthenticated Improper Verification of Cryptographic Signature to Payment Bypass via /wp-json/corvuspay/success/ REST Endpoint

MEDIUM PLUGIN

corvuspay-woocommerce-integration

CorvusPay WooCommerce Payment Gateway <= 2.7.4 - Missing Authorization to Unauthenticated Arbitrary Order Cancellation via 'order_number' Parameter

MEDIUM PLUGIN

dhlpwc

DHL eCommerce (Benelux) for WooCommerce <= 2.2.3 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Shipping Label Creation and Deletion via dhlpwc_label_create and dhlpwc_label_delete AJAX Actions

HIGH PLUGIN

widget-logic-visual

Widget Logic Visual <= 1.52 - Authenticated (Subscriber+) Remote Code Execution via 'nwlv[cod-tag]' Parameter

MEDIUM PLUGIN

bulk-order-update-for-woocommerce

Bulk Order Update for WooCommerce <= 1.6 - Unauthenticated Arbitrary File Read via 'csv_url' Parameter

HIGH PLUGIN

wc-multivendor-membership

WCFM - WooCommerce Multivendor Membership <= 2.11.10 - Insecure Direct Object Reference to Limited Privilege Escalation via User Role Overwrite

CRITICAL PLUGIN

wpfunnels

WPFunnels <= 3.12.7 - Unauthenticated Remote Code Execution via 'postData' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto