Fuente base de datos: Wordfence Intelligence

Backup and Staging by WP Time Capsule <= 1.22.26 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Exposure via download_recent_decrypted_file_wptc Function (falta de autorizacion) - version 1.22.27

PLUGIN MEDIUM CVE-2026-8996

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin WP Time Capsule, que permite la exposición de información sensible a usuarios autenticados con rol de suscriptor o superior. Esta brecha de seguridad puede comprometer datos críticos si no se mitiga adecuadamente.

Contexto técnico

El fallo se encuentra en la función `download_recent_decrypted_file_wptc`, que no implementa correctamente la autorización para acceder a archivos sensibles. Esto permite que usuarios no autorizados accedan a información que debería estar restringida.

Impacto potencial

La exposición de información sensible puede resultar en la filtración de datos críticos, afectando la confianza de los usuarios y la integridad de la plataforma. Esto puede tener repercusiones legales y financieras si se divulga información confidencial.

Vector de explotación

La explotación se realiza a través del acceso a la función vulnerable sin las debidas restricciones de autorización, lo que permite a usuarios malintencionados descargar archivos sensibles.

Mitigación recomendada

Actualizar el plugin WP Time Capsule a la versión 1.22.27 o superior para corregir la vulnerabilidad. Revisar los roles y permisos de los usuarios en el sistema para asegurar que solo los usuarios autorizados tengan acceso a funciones críticas. Realizar auditorías regulares de seguridad para identificar y mitigar posibles brechas en el futuro.

Señales de detección

Monitorear los logs de acceso para identificar intentos no autorizados de acceder a la función `download_recent_decrypted_file_wptc`. También se deben revisar las configuraciones de permisos de los usuarios.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin WP Time Capsule hasta la 1.22.26. La versión 1.22.27 y posteriores han corregido este fallo.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

wp-time-capsule

Backup and Staging by WP Time Capsule <= 1.22.25 - Missing Authorization

MEDIUM PLUGIN

wp-time-capsule

Backup and Staging by WP Time Capsule <= 1.22.23 - Reflected Cross-Site Scripting

CRITICAL PLUGIN

wp-time-capsule

Backup and Staging by WP Time Capsule <= 1.22.21 - Unauthenticated Arbitrary File Upload

HIGH PLUGIN

wp-time-capsule

Backup and Staging by WP Time Capsule <= 1.22.21 - Authenticated (Administrator+) PHP Object Injection

MEDIUM PLUGIN

wp-time-capsule

Backup and Staging by WP Time Capsule <= 1.22.21 - Authenticated (Contributor+) SQL Injection

CRITICAL PLUGIN

wp-time-capsule

Backup and Staging by WP Time Capsule <= 1.22.20 - Authentication Bypass to Account Takeover

MEDIUM PLUGIN

wp-time-capsule

Backup and Staging by WP Time Capsule <= 1.22.6 - Reflected Cross-Site Scripting

CRITICAL PLUGIN

wp-time-capsule

Backup and Staging by WP Time Capsule <= 1.21.15 - Authentication Bypass

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto