Fuente base de datos: Wordfence Intelligence

UpsellWP – WooCommerce Upsell and Related Products Offers <= 2.2.4 - Authenticated (Shop manager+) SQL Injection

PLUGIN MEDIUM CVE-2026-32459

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin UpsellWP para WooCommerce, que afecta a las versiones hasta la 2.2.4. Esta vulnerabilidad, clasificada como de severidad media, permite a usuarios autenticados con rol de gestor de tienda ejecutar consultas SQL maliciosas.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las entradas en el plugin, lo que permite que un atacante autenticado manipule las consultas SQL. Esto puede comprometer la base de datos del sitio, exponiendo información sensible o permitiendo la ejecución de comandos no autorizados.

Impacto potencial

El impacto potencial incluye la posibilidad de acceso no autorizado a datos críticos de la tienda, lo que podría resultar en pérdidas financieras y daños a la reputación del negocio. La explotación de esta vulnerabilidad puede llevar a una interrupción del servicio y a la exposición de datos de clientes.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la manipulación de parámetros en las solicitudes HTTP que son procesadas por el plugin, permitiendo así la ejecución de consultas SQL maliciosas por parte de un usuario autenticado con privilegios adecuados.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin UpsellWP a la versión 2.2.5 o superior. Además, es aconsejable revisar los permisos de usuario y limitar el acceso a funciones críticas del plugin solo a los usuarios que realmente lo necesiten.

Señales de detección

Señales de posible explotación incluyen registros de errores de SQL inusuales, intentos de acceso no autorizados por parte de usuarios con rol de gestor de tienda y cambios inesperados en la base de datos.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin UpsellWP para WooCommerce hasta la 2.2.4. La vulnerabilidad afecta a cualquier instalación que utilice estas versiones en su entorno.

Vulnerabilidades relacionadas

HIGH PLUGIN

js-support-ticket

JS Help Desk – AI-Powered Support & Ticketing System <= 3.0.4 - Unauthenticated SQL Injection via 'multiformid' Parameter

MEDIUM PLUGIN

quiz-master-next

Quiz and Survey Master (QSM) <= 10.3.5 - Authenticated (Contributor+) SQL Injection via 'merged_question' Parameter

HIGH PLUGIN

wp-job-portal

WP Job Portal <= 2.4.8 - Unauthenticated SQL Injection via 'radius' Parameter

MEDIUM PLUGIN

sfwd-lms

LearnDash LMS <= 5.0.3 - Authenticated (Contributor+) SQL Injection via 'filters[orderby_order]' Parameter

HIGH PLUGIN

jet-engine

JetEngine <= 3.8.6.1 - Unauthenticated SQL Injection via Listing Grid 'filtered_query' Parameter

MEDIUM PLUGIN

elementinvader-addons-for-elementor

ElementInvader Addons for Elementor <= 1.4.2 - Authenticated (Subscriber+) SQL Injection

HIGH PLUGIN

wp-google-map-plugin

WP Maps – Store Locator,Google Maps,OpenStreetMap,Mapbox,Listing,Directory & Filters <= 4.9.1 - Unauthenticated SQL Injection via 'orderby' Parameter

HIGH PLUGIN

mylinksdump

myLinksDump <= 1.6 - Authenticated (Administrator+) SQL Injection via 'sort_by' and 'sort_order' Parameters

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto