Una falla de inyección SQL en un Plugin de WordPress expone a más de 3 millones de sitios a ataques de ejecución remota. El defecto, CVE-2026-19949, tiene puntuación CVSS de 8.8.
Por qué importa: La falla permite a atacantes obtener acceso remoto a sitios sin autenticación.
Lo esencial
La vulnerabilidad CVE-2026-19949 afecta más de 3 millones de sitios WordPress.
Se trata de una inyección SQL de segundo orden en la funcionalidad de restauración de archivos.
Atacantes pueden usar trackbacks para extraer claves secretas y ejecutar códigos maliciosos.
Circuito de ataque en el Plugin de migración
Un atacante envía dos trackbacks con backslashes y URLs a un post público, que son almacenados sin validación. El contenido se convierte en SQL ejecutable durante la restauración.
Impacto y mecanismo de la falla
La clave secreta usada para proteger el proceso de restauración es escrita directamente en el código SQL, permitiendo a atacantes recuperarla y usarla para ejecutar comandos.
