Índice
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-12877 |
| Fabricante | No publicado por las fuentes consultadas |
| Producto | Project Management, Bug and Issue Tracking Plugin |
| Fecha de publicación | 24 de julio de 2026 |
| Severidad | CRÍTICA |
| CVSS | 9.1 (Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) |
| Puntuación de prioridad | 185 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-12877 reside en el plugin Project Management, Bug and Issue Tracking para WordPress, en versiones anteriores a la 5.1.0. El plugin no sanitiza ni escapa adecuadamente la entrada del usuario antes de usarla en una consulta SQL, lo que permite a atacantes no autenticados realizar ataques de inyección SQL. Esto es explotable en la configuración estándar del sistema de seguimiento de incidencias en el front-end.
Un atacante podría enviar una petición especialmente diseñada al formulario público del issue tracker, logrando modificar la consulta SQL subyacente. Como resultado, podría leer información sensible de la base de datos (como credenciales de usuario o datos de proyectos) o incluso modificar registros, dependiendo de los permisos del usuario de la base de datos de WordPress.
Productos y versiones vulnerables
| Producto | Versión afectada |
|---|---|
| Project Management, Bug and Issue Tracking Plugin | Todas las versiones anteriores a la 5.1.0 |
Según los datos oficiales, la versión corregida es la 5.1.0. No se han identificado otros productos afectados.
Impacto y riesgo
La vulnerabilidad tiene un CVSS de 9.1, considerado crítico. El vector de ataque es remoto y no requiere autenticación ni interacción del usuario. El impacto en la confidencialidad e integridad es alto, aunque no afecta a la disponibilidad. Esto significa que un atacante podría:
- Leer datos almacenados en la base de datos (información de proyectos, correos, claves de acceso).
- Modificar o eliminar registros de la base de datos.
- Posiblemente escalar privilegios si el usuario de la base de datos tiene permisos amplios.
Estado de explotación conocida
Hasta la fecha de elaboración de este informe, no se ha publicado evidencia de explotación activa en las fuentes oficiales consultadas (NVD, CVE.org). La vulnerabilidad ha sido seleccionada por RyzerBot por su criticidad y publicación reciente (hace menos de 24 horas). Se recomienda monitorizar la situación y aplicar la actualización como medida preventiva.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse. Si se detecta actividad sospechosa, se recomienda revisar los registros del servidor en busca de peticiones anómalas a los formularios del issue tracker.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress está afectada:
- Accede al panel de administración de WordPress.
- Ve a Plugins y busca «Project Management, Bug and Issue Tracking Plugin».
- Comprueba el número de versión: si es inferior a 5.1.0, estás en riesgo.
Si no usas este plugin, no estás afectado. No se requieren comandos adicionales.
Mitigación y actualización
La acción más efectiva es actualizar el plugin a la versión 5.1.0 o superior. No se han publicado mitigaciones alternativas en las fuentes consultadas. Si no es posible actualizar inmediatamente, considera deshabilitar temporalmente el plugin hasta que puedas aplicar el parche.
Consulta el aviso oficial del fabricante (enlace en fuentes) para obtener instrucciones detalladas.
Checklist para administradores
- ☐ Identificar la versión del plugin Project Management, Bug and Issue Tracking.
- ☐ Si la versión es anterior a 5.1.0, actualizar inmediatamente a la versión 5.1.0.
- ☐ Revisar los registros del servidor web en busca de actividad sospechosa en rutas del issue tracker.
- ☐ Cambiar las credenciales de la base de datos si se sospecha compromiso.
- ☐ Mantener monitorizada la página oficial de la vulnerabilidad (NVD o WPscan).
Preguntas frecuentes
¿Necesito autenticarme para ser atacado?
No, la vulnerabilidad es explotable sin autenticación, desde la configuración pública del issue tracker.
¿Qué versión corrige el fallo?
La versión 5.1.0 del plugin es la que contiene la corrección.
¿Hay algún parche temporal disponible?
No se ha publicado ningún parche temporal en las fuentes consultadas. Se recomienda actualizar.
¿Cómo puedo saber si mi sitio ha sido atacado ya?
Revisa los registros de acceso y de errores del servidor en busca de peticiones inusuales a los formularios del issue tracker.
¿Afecta a otros plugins de gestión de proyectos?
No, solo al plugin Project Management, Bug and Issue Tracking en versiones anteriores a la 5.1.0.
¿Qué debo hacer si no puedo actualizar ahora?
Deshabilita el plugin hasta que puedas aplicar la actualización, pero ten en cuenta que esto detendrá la funcionalidad del issue tracker.