GIFT4U – Gift Cards All in One for Woo <= 1.0.10 - Unauthenticated SQL Injection en Gift4u Gift Cards ALL IN ONE FOR WOO (inyeccion SQL) - version 1.1.0

PLUGIN HIGH CVE-2026-54809

Datos técnicos procedentes de Wordfence Intelligence. Análisis y contenido explicativo elaborados por SeguridadWP mediante un proceso editorial asistido por IA. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL no autenticada en el plugin GIFT4U – Gift Cards All in One for Woo, afectando a versiones hasta la 1.0.10. Esta vulnerabilidad permite a un atacante ejecutar consultas SQL maliciosas, lo que podría comprometer la seguridad de la base de datos del sitio web.

Contexto técnico

La vulnerabilidad se presenta en el plugin GIFT4U, que permite la gestión de tarjetas regalo en WooCommerce. La superficie de ataque se encuentra en la falta de validación de entradas, lo que permite a un atacante enviar solicitudes maliciosas sin necesidad de autenticación.

Impacto potencial

El impacto potencial incluye el acceso no autorizado a datos sensibles almacenados en la base de datos del sitio, lo que podría llevar a la exposición de información de clientes y a la alteración de datos críticos del negocio.

Vector de explotación

La explotación se realiza mediante el envío de solicitudes HTTP manipuladas que incluyen parámetros SQL maliciosos, permitiendo la ejecución de comandos SQL en la base de datos.

Mitigación recomendada

Actualizar el plugin GIFT4U a la versión 1.1.0 o superior. Revisar y validar las entradas de usuario en formularios relacionados con el plugin. Implementar medidas de seguridad adicionales, como firewalls de aplicaciones web.

Señales de detección

Revisar los logs de acceso para detectar patrones inusuales en las solicitudes hacia el plugin, especialmente aquellas que contengan caracteres SQL como 'SELECT', 'UNION' o 'DROP'.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.1.0. No se han confirmado casos en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

contest-gallery

Contest Gallery <= 30.0.6 - Authenticated (Author+) Second-Order SQL Injection via MultipleFiles Second-Order Payload via 'cg_multiple_files_for_post' -> 'cgRealId'

MEDIUM PLUGIN

form-maker

Form Maker by 10Web <= 1.15.44 - Authenticated (Subscriber+) SQL Injection via '{username}' Placeholder in Dynamic-Choice Field WHERE Clause

MEDIUM PLUGIN

gdpr-compliant-recaptcha-for-all-forms

Invisible Anti-Spam & CAPTCHA <= 5.1 - Authenticated (Editor+) SQL Injection via 'key' Parameter

MEDIUM PLUGIN

gdpr-compliant-recaptcha-for-all-forms

Invisible Anti-Spam & CAPTCHA <= 5.1 - Authenticated (Editor+) SQL Injection via Pattern JSON Keys/Values

MEDIUM PLUGIN

groundhogg

Groundhogg <= 4.5.14 - Authenticated (Vendor+) SQL Injection via 'tag_query' Parameter

MEDIUM PLUGIN

kivicare-clinic-management-system

KiviCare <= 4.5.1 - Authenticated (Doctor+) SQL Injection via 'searchTerm' Parameter

MEDIUM PLUGIN

sitepress-multilingual-cms

WPML Multilingual CMS <= 4.9.5 - Authenticated (Translator+) SQL Injection via 'sorting' Parameter

MEDIUM PLUGIN

image-uploader-for-welcart

Image Uploader for Welcart <= 1.4.6 - Authenticated (Author+) SQL Injection via Attachment 'post_title' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto