Fuente base de datos: Wordfence Intelligence

Object Sync for Salesforce <= 2.2.13 - Unauthenticated SQL Injection (inyeccion SQL)

PLUGIN HIGH CVE-2026-15162

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Object Sync for Salesforce, afectando a versiones hasta la 2.2.13. Este fallo permite a atacantes no autenticados ejecutar consultas SQL maliciosas, comprometiendo la seguridad del sistema.

Contexto técnico

La vulnerabilidad se encuentra en el plugin Object Sync for Salesforce, que permite la sincronización de datos entre WordPress y Salesforce. La superficie de ataque es accesible a través de peticiones HTTP no autenticadas, lo que facilita la explotación por parte de atacantes externos.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar al acceso no autorizado a la base de datos, comprometiendo datos sensibles y afectando la integridad del sistema. Esto puede resultar en pérdidas económicas y daños a la reputación de la empresa.

Vector de explotación

Los atacantes pueden enviar solicitudes manipuladas a los endpoints del plugin, lo que les permite ejecutar comandos SQL arbitrarios sin necesidad de autenticación previa.

Mitigación recomendada

Actualizar el plugin Object Sync for Salesforce a la versión 2.2.13 o superior. Revisar los registros de actividad para detectar accesos no autorizados. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web.

Señales de detección

Busque entradas inusuales en los registros de acceso que indiquen intentos de inyección SQL, así como cambios no autorizados en la base de datos.

Alcance afectado

Las versiones afectadas incluyen todas las anteriores a la 2.2.13. No se han reportado casos de explotación confirmados en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

contest-gallery

Contest Gallery <= 30.0.6 - Authenticated (Author+) Second-Order SQL Injection via MultipleFiles Second-Order Payload via 'cg_multiple_files_for_post' -> 'cgRealId'

MEDIUM PLUGIN

form-maker

Form Maker by 10Web <= 1.15.44 - Authenticated (Subscriber+) SQL Injection via '{username}' Placeholder in Dynamic-Choice Field WHERE Clause

MEDIUM PLUGIN

gdpr-compliant-recaptcha-for-all-forms

Invisible Anti-Spam & CAPTCHA <= 5.1 - Authenticated (Editor+) SQL Injection via 'key' Parameter

MEDIUM PLUGIN

gdpr-compliant-recaptcha-for-all-forms

Invisible Anti-Spam & CAPTCHA <= 5.1 - Authenticated (Editor+) SQL Injection via Pattern JSON Keys/Values

MEDIUM PLUGIN

groundhogg

Groundhogg <= 4.5.14 - Authenticated (Vendor+) SQL Injection via 'tag_query' Parameter

MEDIUM PLUGIN

kivicare-clinic-management-system

KiviCare <= 4.5.1 - Authenticated (Doctor+) SQL Injection via 'searchTerm' Parameter

MEDIUM PLUGIN

sitepress-multilingual-cms

WPML Multilingual CMS <= 4.9.5 - Authenticated (Translator+) SQL Injection via 'sorting' Parameter

MEDIUM PLUGIN

image-uploader-for-welcart

Image Uploader for Welcart <= 1.4.6 - Authenticated (Author+) SQL Injection via Attachment 'post_title' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto