Resumen ejecutivo
Se ha identificado una vulnerabilidad de inyección SQL en el plugin 'Appointment Booking Calendar' hasta la versión 1.6.10.0. Esta vulnerabilidad permite el acceso no autenticado a través del parámetro 'fields'.
Fuente base de datos: Wordfence Intelligence
Appointment Booking Calendar <= 1.6.10.0 - Unauthenticated SQL Injection via 'fields' Parameter
PLUGIN
HIGH
CVE-2026-3658
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.
Contexto técnico
La vulnerabilidad se origina en la forma en que el plugin maneja las entradas del usuario en el parámetro 'fields', lo que permite a un atacante ejecutar consultas SQL maliciosas en la base de datos sin necesidad de autenticación previa.
Impacto potencial
El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a información sensible de la base de datos, lo que podría comprometer la integridad y confidencialidad de los datos almacenados, afectando la reputación y la operación del negocio.
Vector de explotación
Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas que incluyan un payload SQL en el parámetro 'fields', lo que permite ejecutar comandos SQL no autorizados.
Mitigación recomendada
Actualizar el plugin 'Appointment Booking Calendar' a la versión 1.6.10.2 o superior. Además, se recomienda revisar las configuraciones de seguridad del sitio y aplicar medidas de hardening como la validación de entradas y el uso de consultas preparadas.
Señales de detección
Señales de explotación pueden incluir registros de acceso inusuales, intentos de inyección SQL en los logs del servidor, o cambios inesperados en la base de datos.
Alcance afectado
Las versiones afectadas son todas las anteriores a la 1.6.10.2 del plugin 'Appointment Booking Calendar'.
Vulnerabilidades relacionadas
HIGH
PLUGIN
simply-schedule-appointments
Appointment Booking Calendar <= 1.6.9.27 - Unauthenticated SQL Injection via 'append_where_sql' Parameter
HIGH
PLUGIN
simply-schedule-appointments
Simply Schedule Appointments <= 1.6.9.9 - Unauthenticated SQL Injection via `order` and `append_where_sql` Parameters
HIGH
PLUGIN
simply-schedule-appointments
Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin <= 1.6.7.7 - Authenticated (Contributor+) SQL Injection via Shortcode
HIGH
PLUGIN
simply-schedule-appointments
Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin <= 1.6.7.7 - Authenticated (Subscriber+) SQL Injection
MEDIUM
PLUGIN
simply-schedule-appointments
Simply Schedule Appointments <= 1.6.5.27 - Authenticated(Administrator+) SQL Injection
¿Tu WordPress podría estar expuesto?
Comprueba si tu web tiene esta vulnerabilidad
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
¿Necesitas ayuda de un experto?
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un experto