Fuente base de datos: Wordfence Intelligence

Paid Membership Subscriptions – Effortless Memberships, Recurring Payments & Content Restriction <= 3.0.4 - Unauthenticated Server-Side Request Forgery en Paid Member Subscriptions (Server-Side Request Forgery (SSRF)) - version 3.0.5

PLUGIN MEDIUM CVE-2026-57348

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el plugin Paid Membership Subscriptions, que afecta a versiones hasta la 3.0.4. Esta falla puede comprometer la seguridad del servidor y permitir a un atacante realizar solicitudes no autorizadas.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja las solicitudes del servidor, permitiendo a un atacante no autenticado enviar peticiones maliciosas. Esto puede ser explotado a través de puntos de entrada que no requieren autenticación, aumentando la superficie de ataque.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la exposición de información sensible del servidor y potencialmente permitir el acceso a recursos internos. Esto podría afectar la integridad y disponibilidad de los servicios del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a través de formularios o endpoints del plugin que no requieran autenticación, lo que facilita la explotación.

Mitigación recomendada

Actualizar el plugin Paid Membership Subscriptions a la versión 3.0.5 o superior para corregir la vulnerabilidad. Revisar la configuración de seguridad del servidor para limitar el acceso a recursos sensibles. Implementar medidas de monitoreo para detectar actividades inusuales relacionadas con el plugin.

Señales de detección

Revisar logs de acceso para identificar patrones de solicitudes inusuales o no autorizadas que puedan indicar intentos de explotación.

Alcance afectado

Las versiones del plugin Paid Membership Subscriptions hasta la 3.0.4 están afectadas. No se han confirmado otros escenarios de explotación fuera de estas versiones.

Vulnerabilidades relacionadas

HIGH PLUGIN

planyo-online-reservation-system

Planyo online reservation system <= 3.0 - Unauthenticated Server-Side Request Forgery via 'ulap_url' Parameter

MEDIUM PLUGIN

all-in-one-video-gallery

All-in-One Video Gallery <= 4.8.5 - Authenticated (Subscriber+) Server-Side Request Forgery via 'vdl' Parameter

MEDIUM PLUGIN

wp-import-export-lite

WP Import Export Lite <= 3.9.30 - Authenticated (Administrator+) Server-Side Request Forgery via 'file_url' Parameter

MEDIUM PLUGIN

geodirectory

GeoDirectory – WP Business Directory Plugin and Classified Listings Directory <= 2.8.161 - Authenticated (Subscriber+) Server-Side Request Forgery

MEDIUM PLUGIN

kirki

Kirki – Freeform Page Builder, Website Builder & Customizer <= 6.0.11 - Authenticated (Subscriber+) Server-Side Request Forgery

MEDIUM PLUGIN

utm-dot-codes

utm.codes <= 1.9.0 - Authenticated (Subscriber+) Server-Side Request Forgery

HIGH PLUGIN

kargo-takip

Kargo Takip <= 1.2 - Unauthenticated Server-Side Request Forgery via 'api_url' Parameter

HIGH PLUGIN

link-preview

URL Preview <= 1.0 - Unauthenticated Server-Side Request Forgery via 'url' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto