Resumen ejecutivo
Se ha identificado una vulnerabilidad de inyección SQL en el plugin 'Pixelating Image Slideshow Gallery' en versiones anteriores a la 8.0. Este fallo afecta a usuarios autenticados con rol de contribuyente o superior.
Fuente base de datos: Wordfence Intelligence
Pixelating image slideshow gallery <= 8.0 - Authenticated (Contributor+) SQL Injection
PLUGIN
MEDIUM
CVE-2025-30979
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.
Contexto técnico
La vulnerabilidad se presenta en el manejo de entradas en el plugin, permitiendo a un atacante con acceso autenticado realizar consultas SQL maliciosas. La superficie de ataque se limita a usuarios con privilegios de contribuyente o superiores, lo que implica que el atacante debe estar autenticado para explotar el fallo.
Impacto potencial
La explotación de esta vulnerabilidad puede permitir a un atacante acceder a información sensible de la base de datos, comprometiendo así la integridad y confidencialidad de los datos del sitio. Esto podría resultar en daños reputacionales y pérdidas económicas para el negocio.
Vector de explotación
Normalmente, la explotación se lleva a cabo mediante el envío de solicitudes manipuladas a través de formularios del plugin, donde se pueden insertar comandos SQL en las entradas que no están debidamente sanitizadas.
Mitigación recomendada
Se recomienda actualizar el plugin 'Pixelating Image Slideshow Gallery' a la versión 8.0 o superior. Además, es aconsejable realizar una revisión de las entradas y salidas del plugin para asegurar que se implementen medidas de validación y sanitización adecuadas.
Señales de detección
Señales de alerta incluyen registros de errores SQL en los logs del servidor y comportamientos inusuales en las consultas a la base de datos. También se deben monitorizar las actividades de usuarios con privilegios elevados.
Alcance afectado
Las versiones afectadas son todas las anteriores a la 8.0 del plugin 'Pixelating Image Slideshow Gallery'.
Vulnerabilidades relacionadas
MEDIUM
PLUGIN
ameliabooking
Amelia <= 2.1.2 - Authenticated (Manager+) SQL Injection via 'sort' Parameter
HIGH
PLUGIN
js-support-ticket
JS Help Desk – AI-Powered Support & Ticketing System <= 3.0.4 - Unauthenticated SQL Injection via 'multiformid' Parameter
HIGH
THEME
noo-jobmonster
Noo JobMonster < 4.8.4 - Unauthenticated SQL Injection
HIGH
PLUGIN
addon-jobsearch-chat
Addon Jobsearch Chat <= 3.0 - Unauthenticated SQL Injection
MEDIUM
PLUGIN
quiz-master-next
Quiz and Survey Master (QSM) <= 10.3.5 - Authenticated (Contributor+) SQL Injection via 'merged_question' Parameter
HIGH
PLUGIN
wp-job-portal
WP Job Portal <= 2.4.8 - Unauthenticated SQL Injection via 'radius' Parameter
MEDIUM
PLUGIN
sfwd-lms
LearnDash LMS <= 5.0.3 - Authenticated (Contributor+) SQL Injection via 'filters[orderby_order]' Parameter
HIGH
PLUGIN
jet-engine
JetEngine <= 3.8.6.1 - Unauthenticated SQL Injection via Listing Grid 'filtered_query' Parameter
¿Tu WordPress podría estar expuesto?
Comprueba si tu web tiene esta vulnerabilidad
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
¿Necesitas ayuda de un experto?
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un experto