Fuente base de datos: Wordfence Intelligence

Smart Slider 3 <= 3.5.1.37 - Missing Authorization to Authenticated (Contributor+) Sensitive Information Exposure via WP_Query Parameter Injection via 'keyword' Parameter (falta de autorizacion) - version 3.5.1.38

PLUGIN MEDIUM CVE-2026-12385

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

La versión 3.5.1.37 del plugin Smart Slider 3 presenta una vulnerabilidad que permite la exposición de información sensible a través de inyecciones en el parámetro 'keyword'. Esta falla, clasificada como de severidad media, puede comprometer la seguridad de los datos en entornos donde los usuarios autenticados tienen permisos de contribuidor o superiores.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada en el manejo del parámetro 'keyword' en WP_Query. Esto permite a usuarios autenticados con permisos de contribuidor acceder a información sensible que debería estar restringida, exponiendo datos críticos a través de consultas maliciosas.

Impacto potencial

El impacto en la seguridad puede ser significativo, ya que permite a usuarios no autorizados acceder a información que podría ser utilizada para realizar ataques adicionales o comprometer la integridad del sitio. Esto puede llevar a pérdidas de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente implica el uso de consultas manipuladas que aprovechan la inadecuada validación del parámetro 'keyword', permitiendo así la recuperación de datos sensibles.

Mitigación recomendada

Actualizar el plugin Smart Slider 3 a la versión 3.5.1.38 o superior para corregir la vulnerabilidad. Revisar los registros de acceso para identificar posibles intentos de explotación. Implementar controles adicionales de acceso para usuarios autenticados, restringiendo los permisos según corresponda.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales que intentan acceder a información sensible mediante el parámetro 'keyword', así como cambios en la configuración del plugin que no fueron autorizados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.5.1.38. No se han confirmado casos en versiones posteriores ni en instalaciones que no utilicen el plugin.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

smart-slider-3