Fuente base de datos: Wordfence Intelligence

weDocs: AI Powered Knowledge Base, Docs, Documentation, Wiki & AI Chatbot <= 2.3.0 - Missing Authorization to Authenticated (Subscriber+) Data Migration via wedocs_migrate_betterdocs_to_wedocs AJAX Action (falta de autorizacion) - version 2.3.1

PLUGIN MEDIUM CVE-2026-12729

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin weDocs que permite la migración de datos sin la debida autorización para usuarios autenticados. Esto podría comprometer la integridad de los datos y la seguridad de la información sensible en las instalaciones afectadas.

Contexto técnico

El fallo se origina en la acción AJAX 'wedocs_migrate_betterdocs_to_wedocs', que no verifica adecuadamente los permisos de los usuarios autenticados (Subscriber+). Esto permite que usuarios no autorizados accedan a funciones de migración de datos, exponiendo información crítica.

Impacto potencial

El impacto en la seguridad puede ser significativo, ya que usuarios malintencionados podrían acceder y manipular datos sensibles. Esto podría resultar en una pérdida de confianza por parte de los usuarios y afectar la reputación del negocio.

Vector de explotación

La explotación se realiza a través de la invocación de la acción AJAX vulnerable, permitiendo a los atacantes ejecutar migraciones de datos sin autorización previa.

Mitigación recomendada

Actualizar el plugin weDocs a la versión 2.3.1 o superior. Revisar los permisos de los usuarios y roles en la instalación de WordPress. Implementar medidas de seguridad adicionales, como la limitación de acceso a acciones AJAX sensibles.

Señales de detección

Revisar los logs de acceso para detectar solicitudes inusuales a la acción AJAX mencionada. Monitorear cambios en la base de datos relacionados con migraciones de datos.

Alcance afectado

Las versiones afectadas son todas las versiones de weDocs anteriores a la 2.3.1. No se han reportado casos de explotación confirmados en instalaciones específicas.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

wedocs