Fuente base de datos: Wordfence Intelligence

WCFM – Frontend Manager for WooCommerce <= 6.7.27 - Missing Authorization to Unauthenticated Arbitrary Inquiry Reply Injection via wcfm-my-account-enquiry-manage Controller en WC Frontend Manager - version 6.7.28

PLUGIN MEDIUM CVE-2026-12994

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin WCFM – Frontend Manager para WooCommerce que permite inyecciones arbitrarias sin autenticación. Esta falla puede comprometer la seguridad del sistema, afectando la integridad de los datos y la confianza del cliente.

Contexto técnico

La vulnerabilidad se presenta en el controlador 'wcfm-my-account-enquiry-manage', donde se permite la inyección de consultas arbitrarias sin requerir autenticación previa. Esto expone el sistema a ataques que pueden manipular la información del usuario.

Impacto potencial

El impacto puede ser significativo, ya que permite a un atacante no autenticado realizar consultas maliciosas, lo que podría llevar a la exposición de datos sensibles. Esto no solo afecta la seguridad del sitio, sino que también puede dañar la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes manipuladas al controlador afectado, lo que les permite ejecutar consultas no autorizadas.

Mitigación recomendada

Actualizar el plugin WCFM – Frontend Manager a la versión 6.7.28 o superior. Revisar y ajustar las configuraciones de acceso y autorización en el plugin. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web, para filtrar solicitudes sospechosas.

Señales de detección

Revisar los logs de acceso en busca de patrones inusuales en las solicitudes al controlador 'wcfm-my-account-enquiry-manage', así como cualquier intento de acceso no autorizado.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 6.7.28. No se han reportado casos de explotación confirmados, pero la vulnerabilidad está presente en múltiples instalaciones del plugin.