Fuente base de datos: Wordfence Intelligence

ProfileGrid <= 5.9.8.4 - Authenticated (Subscriber+) SQL Injection via 'rid' Parameter en Profilegrid User Profiles Groups AND Communities (inyeccion SQL) - version 5.9.8.5

PLUGIN MEDIUM CVE-2026-4608

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin ProfileGrid, afectando a versiones hasta la 5.9.8.4. Este fallo permite a usuarios autenticados con rol de suscriptor o superior ejecutar consultas SQL maliciosas, lo que puede comprometer la seguridad de la base de datos y la integridad de los datos operativos.

Contexto técnico

La vulnerabilidad se encuentra en el parámetro 'rid' del plugin ProfileGrid, que permite a usuarios autenticados manipular consultas SQL. La exposición ocurre cuando se utilizan entradas no validadas en esta función, facilitando la inyección de código SQL.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir el acceso no autorizado a datos sensibles y la posibilidad de modificar o eliminar información crítica. Esto puede afectar la reputación del negocio y la confianza de los usuarios, además de implicar un riesgo legal por incumplimiento de normativas de protección de datos.

Vector de explotación

Normalmente, esta vulnerabilidad se explota mediante la manipulación de la solicitud HTTP para incluir comandos SQL maliciosos en el parámetro 'rid', lo que permite a un atacante ejecutar consultas no autorizadas.

Mitigación recomendada

Actualizar el plugin ProfileGrid a la versión 5.9.8.5 o superior para corregir la vulnerabilidad. Revisar y validar todas las entradas en formularios relacionados con el plugin para prevenir inyecciones SQL. Implementar medidas de seguridad adicionales como firewalls de aplicaciones web (WAF) para filtrar tráfico malicioso.

Señales de detección

Señales a observar incluyen logs de acceso que muestran patrones inusuales en el uso del parámetro 'rid', así como errores SQL en los registros del servidor que puedan indicar intentos de explotación.

Alcance afectado

Las versiones de ProfileGrid hasta la 5.9.8.4 están afectadas. No se han reportado casos en versiones superiores a la 5.9.8.5.