Alerta CRÍTICA: Se ha publicado la CVE-2026-100752, una vulnerabilidad de inyección SQL sin autenticación en la extensión Real Estate Manager (Free) para Joomla, desarrollada por ordasoft.com. Las versiones afectadas son todas las anteriores a la 6.7.9. La explotación remota permite a un atacante no autenticado comprometer la confidencialidad, integridad y disponibilidad del sitio, con una puntuación CVSS v4.0 de 9.3. Se recomienda aplicar la actualización publicada por el fabricante de forma inmediata.
Resumen ejecutivo
| CVE | CVE-2026-100752 |
|---|---|
| Fabricante | ordasoft.com |
| Producto | Real Estate Manager (Free) extension for Joomla |
| Fecha de publicación | 2026-09-28 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) |
| Prioridad | 205 (según RyzerBot) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La CVE-2026-100752 es una vulnerabilidad de tipo inyección SQL (CWE-89) que afecta a la extensión Real Estate Manager (Free) para Joomla, desarrollada por ordasoft.com. El fallo reside en el archivo site/realestatemanager.php, donde la cláusula ORDER BY de tres consultas SQL distintas —correspondientes a la navegación por categorías, los resultados de búsqueda y el listado completo de propiedades— se construye a partir del parámetro order_field controlado por la solicitud HTTP.
El parámetro se concatena directamente en la consulta SQL sin comillas, sin una lista blanca de nombres de columna válidos y sin conversión de tipo. Esto permite a un atacante inyectar contenido SQL arbitrario en la cláusula ORDER BY, que es ejecutado por la base de datos subyacente.
La vulnerabilidad es explotable sin autenticación, ya que las tres consultas afectadas se ejecutan en el frontend público del sitio. Un atacante remoto puede enviar solicitudes HTTP manipuladas al parámetro order_field para alterar la consulta SQL original y, potencialmente, extraer información sensible, modificar datos o ejecutar comandos a nivel de base de datos.
La clasificación CVSS v4.0 de 9.3 refleja la gravedad del problema: vector de ataque de red, complejidad de ataque baja, sin requisitos de autenticación ni interacción del usuario, y un impacto alto en la confidencialidad, integridad y disponibilidad del sistema.
Según la información publicada por CVE.org, las versiones afectadas son todas las comprendidas entre la 1.0.0 y la 6.7.8 inclusive. La versión 6.7.9 corrige el fallo, aunque la fuente oficial no detalla el mecanismo exacto del parche.
No se ha publicado información sobre exploits públicos, indicadores de compromiso ni ataques en curso relacionados con esta CVE en las fuentes consultadas.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-100752 afecta a la extensión Real Estate Manager (Free) para Joomla, desarrollada por ordasoft.com. Según la información publicada por CVE.org, las versiones afectadas son las comprendidas entre la 1.0.0 y la 6.7.8, ambas inclusive. La versión 6.7.9 es la que corrige el fallo, por lo que cualquier instalación anterior a esta debe considerarse vulnerable.
| Producto | Fabricante | Versiones afectadas | Versión corregida |
|---|---|---|---|
| Real Estate Manager (Free) extension for Joomla | ordasoft.com | 1.0.0 – 6.7.8 | 6.7.9 |
No se han publicado en las fuentes consultadas listas adicionales de productos o componentes afectados más allá de la extensión mencionada. Se recomienda revisar el aviso oficial del fabricante en ordasoft.com para confirmar el alcance exacto y obtener la actualización correspondiente.
Impacto y riesgo
La vulnerabilidad ha sido clasificada como CRÍTICA con una puntuación CVSS v4.0 de 9.3 (vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N). Esta calificación refleja un riesgo extremadamente alto por varias razones:
- Acceso remoto sin autenticación: el vector indica que no se requieren credenciales ni interacción del usuario para explotar la falla, lo que permite a cualquier atacante externo intentar comprometer el sitio.
- Alto impacto en confidencialidad, integridad y disponibilidad: una inyección SQL explotada con éxito puede permitir la lectura de datos sensibles de la base de datos (incluidos usuarios, contraseñas con hash y datos de propiedades), la modificación o eliminación de registros, y en algunos casos la ejecución de comandos del sistema si la configuración del servidor lo permite.
- Superficie de ataque amplia: el fallo se encuentra en
site/realestatemanager.phpy afecta a tres consultas frontales distintas: navegación por categorías, resultados de búsqueda y listado completo de propiedades. Cualquiera de estas funcionalidades expuestas al público puede ser utilizada como vector de ataque. - Falta de validación de entrada: el parámetro
order_fieldcontrolado por la solicitud se concatena directamente en la cláusulaORDER BYsin comillas, sin lista blanca de nombres de columna y sin conversión de tipo, lo que facilita la manipulación de la consulta SQL.
Dado que Joomla es un CMS ampliamente utilizado y que la extensión está disponible de forma gratuita, el número de sitios potencialmente expuestos puede ser significativo. Se recomienda priorizar la actualización a la versión 6.7.9 o aplicar las mitigaciones publicadas por el fabricante lo antes posible.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa de esta vulnerabilidad en el momento de la recopilación de datos. No se mencionan exploits públicos, campañas de ataque ni pruebas de concepto disponibles en las referencias incluidas en el contexto.
Sin embargo, la naturaleza de la vulnerabilidad (inyección SQL sin autenticación con puntuación crítica) y su reciente publicación hacen que el riesgo de explotación sea elevado. Se recomienda asumir que la vulnerabilidad puede ser explotada y actuar en consecuencia, aplicando la actualización de forma inmediata.
Indicadores de compromiso (IOC)
El campo enrichment.ioc de las fuentes consultadas está vacío. No se han extraído indicadores de compromiso estructurados (direcciones IP, dominios, hashes de archivos, cadenas de ataque, etc.) de NVD ni de CVE.org para esta vulnerabilidad.
En consecuencia, no se dispone de IOC específicos que puedan utilizarse para detectar actividad maliciosa relacionada con CVE-2026-100752. Se recomienda monitorizar los registros de acceso al servidor web en busca de solicitudes anómalas dirigidas a site/realestatemanager.php con parámetros order_field inusuales o codificados, así como revisar la integridad de la base de datos para detectar modificaciones no autorizadas.
Cómo comprobar si estás afectado
La confirmación de la exposición a esta vulnerabilidad crítica depende de dos factores principales: la versión instalada de la extensión y la posible existencia de patrones de ataque en los registros del servidor. A continuación se detallan los pasos para realizar una verificación inicial.
1. Verificación de la versión instalada
Acceda al panel de administración de Joomla y navegue hasta Extensiones → Administrar → Gestionar. Localice la entrada correspondiente a Real Estate Manager (Free) y anote el número de versión. El rango de versiones publicado como afectado es desde la 1.0.0 hasta la 6.7.8 inclusive. Si su versión se encuentra dentro de este rango, debe asumir que es vulnerable.
Nota importante: Si la versión mostrada es anterior a la 1.0.0, verifique si dispone de un paquete de actualización sin aplicar o si la instalación está incompleta. En cualquier caso, la presencia de un archivo
site/realestatemanager.phpen el directorio de la extensión indica que el componente está operativo.
2. Revisión de registros de acceso y errores
La inyección SQL se produce a través del parámetro order_field en las consultas de listado de propiedades. La siguiente revisión de logs ayuda a identificar intentos de explotación:
- Registros de acceso web: Busque peticiones a las URLs de listado de propiedades (
index.php?option=com_realestatemanagero rutas similares) que contengan parámetrosorder_fieldcon valores no convencionales, comosleep(),benchmark(), subconsultas, operadoresUNIONo funciones de concatenación. - Registros de errores de la base de datos: Examine los logs de Joomla y del servidor en busca de mensajes de error SQL que hagan referencia a la tabla de propiedades de
realestatemanager. - Posicionamiento de la inyección: Dado que el parámetro se concatenado en la cláusula
ORDER BY, los intentos de explotación habituales incluyen inyecciones basadas en booleanos o temporales mediante funciones comoAND,ORoIFcombinadas conORDER BY.
Si encuentra trazas sospechosas en los registros, asuma que la integridad de la base de datos puede estar comprometida y proceda con la mitigación descrita a continuación.
Mitigación y actualización
El fabricante, ordasoft.com, ha sido notificado de esta vulnerabilidad. No se ha publicado información sobre la existencia de una versión corregida en las fuentes consultadas. Mientras tanto, se recomienda aplicar las siguientes medidas de contención para reducir el riesgo de explotación:
Medidas de contención inmediata
- Desactivar la extensión: Acceda a
Extensiones → Administrar → Gestionar, seleccione Real Estate Manager (Free) y elija la opción Deshabilitar en el listado de acciones. Esta acción elimina temporalmente la funcionalidad de listado público, pero evita la exposición del parámetro vulnerable. - Restringir el acceso mediante reglas WAF: Configure su cortafuegos de aplicación web (WAF) para bloquear peticiones que contengan el parámetro
order_fielden las URLs de la extensión y que incluyan caracteres o palabras clave típicas de inyección SQL. - Supervisión reforzada: Aumente la monitorización de eventos en el servidor web y en la base de datos, prestando especial atención a cualquier consulta SQL anómala dirigida a las tablas de
realestatemanager.
Actualización pendiente
Se recomienda revisar periódicamente el portal oficial del fabricante para comprobar la disponibilidad de una actualización de seguridad. Una vez publicada la versión corregida, la acción prioritaria será aplicarla de inmediato. Si la extensión no va a recibir soporte en el futuro, es recomendable evaluar la sustitución por una alternativa con mantenimiento activo.
Checklist para administradores
- ☐ He identificado la versión exacta de Real Estate Manager (Free) instalada (rango 1.0.0 – 6.7.8 = afectado).
- ☐ He comprobado los registros de acceso del servidor buscando solicitudes sospechosas con el parámetro
order_fielden las URLs de listado de propiedades. - ☐ He revisado los logs de la base de datos en busca de errores o consultas SQL anómalas.
- ☐ He deshabilitado temporalmente la extensión Real Estate Manager (Free) a la espera de un parche.
- ☐ He configurado reglas en el WAF para bloquear el parámetro
order_fieldy patrones de inyección SQL dirigidos a la extensión. - ☐ He notificado al equipo responsable del sitio y he documentado las acciones tomadas.
- ☐ He añadido una monitorización específica para detectar intentos de explotación de CVE-2026-100752.
- ☐ He programado una revisión periódica del portal oficial del fabricante para comprobar la disponibilidad de una versión corregida.
Preguntas frecuentes
¿Qué daños puede causar esta vulnerabilidad?
La inyección SQL sin autenticación permite a un atacante ejecutar consultas arbitrarias sobre la base de datos de Joomla. Esto puede comprometer la confidencialidad (robo de credenciales, datos de usuarios, datos de propiedades), la integridad (modificación o eliminación de datos) y la disponibilidad de la aplicación.
¿La explotación requiere que el usuario tenga permisos avanzados?
No. La vulnerabilidad se explota a través de peticiones HTTP sin autenticación previa, por lo que cualquier usuario anónimo que pueda acceder a las vistas públicas de listado de propiedades puede intentar la inyección.
¿Cómo puedo saber si el ataque ha tenido éxito?
La detección de éxito es compleja. Aunque no haya evidencia directa en los logs, los datos comprometidos pueden ser extraídos de forma progresiva y no dejar rastro inmediato. Es recomendable realizar una auditoría de la base de datos y revisar la integridad de las tablas, además de considerar el cambio de credenciales de acceso a Joomla y a la base de datos.
¿Puedo continuar usando la extensión si bloqueo el parámetro vulnerable en el servidor?
Sí, como mitigación temporal. Bloquear el parámetro order_field a nivel de WAF o de servidor impide la explotación de esta vía. Sin embargo, no se descartan otros vectores no publicados o variantes que requieran el mismo parámetro. La desactivación completa de la extensión es la medida más segura hasta la actualización.
¿Existe alguna versión corregida de la extensión?
Las fuentes consultadas (NVD, CVE.org) no publican la existencia de una versión parcheada. La referencia oficial proporcionada es el sitio web del fabricante, donde se anunciará cualquier actualización disponible.
¿Qué hago si ya he sido explotado?
Si tiene sospechas de compromiso, actúe de inmediato: desactive la extensión, fuerce el cambio de contraseñas de todos los usuarios, revierta la base de datos a una copia limpia si está disponible, audite los archivos del sitio en busca de modificaciones y revise los usuarios administradores recientemente creados. Considere la contratación de un equipo de respuesta a incidentes.
Fuentes oficiales
Se recomienda consultar las siguientes fuentes para obtener información adicional y actualizaciones sobre la vulnerabilidad. Todas las URLs provienen de los datos publicados por NVD y CVE.org.
- NVD – Detalle de la vulnerabilidad:
https://nvd.nist.gov/vuln/detail/CVE-2026-100752 - Sitio oficial del fabricante (ordasoft.com):
https://www.ordasoft.com/