Fuente base de datos: Wordfence Intelligence

WP Business Intelligence Lite <= 3.2.0 - Authenticated (Subscriber+) Missing Authorization to Privilege Escalation via Arbitrary SQL Modification (escalada de privilegios)

PLUGIN HIGH CVE-2026-15293

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de escalación de privilegios en WP Business Intelligence Lite hasta la versión 3.2.0, que permite a usuarios autenticados modificar consultas SQL arbitrarias. Esto puede comprometer la integridad y seguridad de los datos en tu sitio web.

Contexto técnico

El fallo se origina en la falta de autorización adecuada para usuarios con rol de suscriptor, lo que les permite ejecutar modificaciones SQL sin restricciones. Esto se convierte en un vector de ataque potencial para la manipulación de datos y acceso no autorizado a funciones administrativas.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la alteración de datos críticos, afectando la operativa del negocio y la confianza de los usuarios. La severidad alta de esta vulnerabilidad (CVSS 8.0) indica un riesgo significativo para la seguridad del sitio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad mediante el acceso a cuentas de usuario con privilegios de suscriptor, ejecutando comandos SQL no autorizados para escalar sus privilegios.

Mitigación recomendada

Actualizar WP Business Intelligence Lite a la versión 3.2.0 o superior para corregir la vulnerabilidad. Revisar y ajustar los permisos de usuario para limitar el acceso a funciones críticas. Implementar medidas de seguridad adicionales, como la monitorización de logs y la auditoría de accesos.

Señales de detección

Revisar logs de acceso para identificar intentos inusuales de modificación de datos o accesos no autorizados por parte de usuarios con rol de suscriptor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.2.0 de WP Business Intelligence Lite. No se han confirmado otros escenarios o plugins relacionados.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

single-sign-on-for-tng

Single Sign On For TNG <= 2.0.0 - Unauthenticated Privilege Escalation via Unverified Password Change

HIGH PLUGIN

pronamic-ideal

Pronamic Pay <= 10.1.0 - Authenticated (Subscriber+) Privilege Escalation via Gravity Forms 'Update user role' Field

HIGH PLUGIN

plugins-on-steroids

Eazy Plugin Manager <= 4.4.1 - Authenticated (Subscriber+) Privilege Escalation via pos_get_option AJAX Action and admin/login REST Endpoint

HIGH PLUGIN

password-requirements

WP Password Policy <= 3.7.1 - Authenticated (Subscriber+) Privilege Escalation

HIGH PLUGIN

eventon-action-user

EventON Action User <= 2.5.14 - Missing Authorization to Unauthenticated Privilege Escalation via evoau_save_capability AJAX Action

HIGH PLUGIN

wpify-woo

WPify Woo <= 5.4.16 - Authenticated (Shop Manager+) Privilege Escalation via Arbitrary Option Update via save_option REST Endpoint

CRITICAL PLUGIN

wp-base-booking-of-appointments-services-and-events

WP BASE Booking of Appointments, Services and Events <= 6.3.1 - Authenticated (Subscriber+) Privilege Escalation

HIGH PLUGIN

mobile-dj-manager

MDJM Event Management <= 1.7.8.4 - Authenticated (Subscriber+) Privilege Escalation via 'set-permissions' and 'change_role' Handlers

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto