Donation <= 1.0 - Authenticated (Admin+) SQL Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Donation hasta la versión 1.0, que afecta a usuarios autenticados con privilegios de administrador. Esta vulnerabilidad, clasificada con una severidad media, puede comprometer la seguridad de la instalación de WordPress.

Contexto técnico

El fallo se origina en la incapacidad del plugin Donation para validar adecuadamente las entradas de los usuarios, permitiendo a un atacante autenticado ejecutar consultas SQL arbitrarias. Esto se traduce en un vector de ataque que puede ser explotado por administradores malintencionados o atacantes que hayan obtenido acceso a cuentas de administrador.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la divulgación de información sensible almacenada en la base de datos, así como a la modificación de datos críticos. Esto podría afectar la integridad de la aplicación y la confianza de los usuarios en la plataforma, con posibles repercusiones financieras y de reputación para el negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes SQL manipuladas a través de formularios o interfaces administrativas del plugin, lo que les permite ejecutar comandos SQL no autorizados en la base de datos.

Mitigación recomendada

Es crucial actualizar el plugin Donation a la versión 1.0 o superior para mitigar esta vulnerabilidad. Además, se recomienda implementar medidas de seguridad adicionales, como la revisión de los registros de acceso y el uso de plugins de seguridad que monitoricen actividades sospechosas.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales desde cuentas de administrador, consultas SQL inesperadas en los registros de la base de datos y alertas de plugins de seguridad sobre actividad sospechosa.

Alcance afectado

Todas las instalaciones de WordPress que utilicen el plugin Donation en versiones anteriores a la 1.0 están en riesgo. La vulnerabilidad fue publicada el 11 de noviembre de 2025.