Fuente base de datos: Wordfence Intelligence

ProfileGrid – User Profiles, Groups and Communities < 5.9.9.8 - Authenticated (Subscriber+) Insecure Direct Object Reference en Profilegrid User Profiles Groups AND Communities (Insecure Direct Object Reference (IDOR))

PLUGIN MEDIUM CVE-2026-16291

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo IDOR en el plugin ProfileGrid, afectando a versiones anteriores a 5.9.9.8. Esta falla permite a usuarios autenticados acceder a información sensible, lo que puede comprometer la seguridad y la privacidad de los datos de los usuarios.

Contexto técnico

La vulnerabilidad se origina en una referencia directa insegura a objetos, permitiendo que usuarios con privilegios de suscriptor o superiores accedan a recursos no autorizados. Esto se debe a una falta de validación adecuada en las solicitudes de acceso a datos de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser medio, permitiendo a usuarios no autorizados visualizar datos sensibles de otros usuarios. Esto podría resultar en violaciones de privacidad y pérdida de confianza por parte de los usuarios, afectando negativamente la reputación del negocio.

Vector de explotación

La explotación se realiza mediante la manipulación de parámetros en las solicitudes HTTP, lo que permite a un usuario autenticado obtener acceso a información que no debería poder ver.

Mitigación recomendada

Actualizar el plugin ProfileGrid a la versión 5.9.9.8 o superior para corregir la vulnerabilidad. Revisar y ajustar las configuraciones de permisos de usuario para limitar el acceso a datos sensibles. Implementar medidas de seguridad adicionales, como la validación de acceso en todos los puntos de entrada a datos sensibles.

Señales de detección

Revisar los logs de acceso para identificar patrones inusuales de solicitudes que intenten acceder a datos de otros usuarios sin los permisos adecuados.

Alcance afectado

La vulnerabilidad afecta a todas las versiones de ProfileGrid anteriores a la 5.9.9.8. No se han reportado casos de explotación en versiones posteriores.