Alerta crítica de seguridad: Se ha publicado la CVE-2026-103352, una vulnerabilidad de inyección SQL ciega en el plugin WP BASE Booking para WordPress, que afecta a todas las versiones hasta la 6.4.0 inclusive. Con una puntuación CVSS de 9.3 (crítica), la vulnerabilidad permite a un atacante remoto no autenticado comprometer la confidencialidad de la base de datos del sitio. Se recomienda encarecidamente revisar el aviso oficial y aplicar la actualización o mitigación publicada por el fabricante.
Resumen ejecutivo
| CVE | CVE-2026-103352 |
|---|---|
| Fabricante | WP BASE |
| Producto | WP BASE Booking (wp-base-booking-of-appointments-services-and-events) |
| Fecha de publicación | 2026-10-05 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L) |
| Prioridad RyzerBot | 205 (crítica) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La CVE-2026-103352 es una vulnerabilidad de tipo inyección SQL ciega (Blind SQL Injection) localizada en el plugin WP BASE Booking para WordPress. Esta vulnerabilidad está clasificada bajo la debilidad CWE-89 (Improper Neutralization of Special Elements used in an SQL Command).
El fallo radica en una neutralización incorrecta de elementos especiales utilizados en comandos SQL dentro del plugin. Esto significa que el plugin no sanea adecuadamente las entradas del usuario antes de incorporarlas a consultas a la base de datos. Un atacante podría explotar esta deficiencia enviando datos especialmente manipulados que alteren la lógica de las consultas SQL ejecutadas por el plugin.
La naturaleza «ciega» de esta inyección SQL implica que el atacante no recibe una respuesta directa de la base de datos en la interfaz, pero puede inferir información mediante la observación del comportamiento de la aplicación (por ejemplo, diferencias en los tiempos de respuesta o en los mensajes de error). Esta técnica permite extraer datos de forma lenta pero sistemática.
La vulnerabilidad es especialmente peligrosa porque el vector CVSS indica que es explotable de forma remota (AV:N), sin necesidad de autenticación (PR:N) ni interacción del usuario (UI:N). Además, el impacto en la confidencialidad es alto (C:H), lo que significa que un atacante podría acceder a información sensible almacenada en la base de datos del sitio, como credenciales de usuarios, datos personales o contenido privado.
Es importante destacar que el impacto en la integridad es bajo (I:A) y el impacto en la disponibilidad es limitado (A:L), pero la combinación de acceso no autenticado y alto impacto en la confidencialidad eleva la severidad a un nivel crítico. La puntuación CVSS de 9.3 y la prioridad asignada por RyzerBot (205) reflejan la urgencia de abordar esta vulnerabilidad.
Dado que el plugin está diseñado para la gestión de citas, servicios y eventos, es probable que se utilice en sitios con interacción de usuarios finales, lo que amplía la superficie de ataque. Cualquier instalación de WordPress que utilice WP BASE Booking en una versión igual o anterior a la 6.4.0 debe considerarse en riesgo.
No se han publicado detalles técnicos adicionales sobre el vector de ataque exacto ni se han proporcionado indicadores de compromiso (IOC) en las fuentes consultadas. La referencia principal apunta a la base de datos de vulnerabilidades de Patchstack, donde se puede encontrar información más detallada sobre el fallo y las posibles mitigaciones.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-103352 afecta al plugin WP BASE Booking (identificado internamente como wp-base-booking-of-appointments-services-and-events) desarrollado por WP BASE. Según los datos publicados por CVE.org y NVD, todas las versiones del plugin hasta la 6.4.0 inclusive se consideran afectadas.
| Producto | Fabricante | Versiones afectadas | Estado |
|---|---|---|---|
| WP BASE Booking | WP BASE | Desde n/d hasta 6.4.0 (inclusive) | Afectado |
No se han publicado versiones anteriores específicas como punto de partida exacto; la fuente indica «desde n/a hasta 6.4.0», lo que implica que cualquier instalación con una versión igual o anterior a la 6.4.0 debe considerarse en riesgo. No se dispone de información sobre versiones parcheadas o corregidas en las fuentes consultadas.
Impacto y riesgo
La vulnerabilidad se clasifica como crítica con una puntuación CVSS v3.1 de 9.3 según el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L. Este vector revela un impacto significativo:
- Vector de ataque (AV:N): explotable de forma remota sin necesidad de acceso físico o a la red local.
- Complejidad de ataque (AC:L): no se requieren condiciones especiales ni preparación previa compleja.
- Privilegios requeridos (PR:N): no se necesita autenticación previa para explotar la vulnerabilidad.
- Interacción del usuario (UI:N): no se requiere que un usuario realice ninguna acción.
- Alcance (S:C): el impacto puede extenderse más allá del componente vulnerable, afectando a otros recursos del sistema.
- Confidencialidad (C:H): compromiso total de la confidencialidad; un atacante podría acceder a información sensible almacenada en la base de datos.
- Integridad (I:N): no se ve afectada directamente.
- Disponibilidad (A:L): impacto limitado en la disponibilidad del servicio.
La vulnerabilidad corresponde a la categoría CWE-89 (neutralización incorrecta de elementos especiales utilizados en un comando SQL), específicamente una inyección SQL ciega. Esto significa que un atacante podría enviar consultas SQL manipuladas a través de parámetros no saneados, y aunque la respuesta no sea directamente visible, podría inferir información mediante respuestas booleanas o retardos temporales. El riesgo principal es la exfiltración de datos de la base de datos subyacente de WordPress, que podría incluir credenciales de usuarios, datos personales, contenido privado o información de configuración.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa de esta vulnerabilidad en entornos reales. No se mencionan ataques en curso, exploits públicos o pruebas de concepto disponibles en los datos analizados. La ausencia de esta información no debe interpretarse como una confirmación de que no exista explotación; simplemente no está documentada en las referencias oficiales revisadas.
Dado el alto puntaje CVSS y la naturaleza de la vulnerabilidad (inyección SQL sin autenticación), se recomienda asumir un escenario de riesgo elevado y proceder con la mitigación de forma inmediata, sin esperar confirmación pública de explotación.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo enrichment.ioc aparece vacío en los datos disponibles, y no se debe inventar ni especular sobre posibles IOC. Las referencias proporcionadas por NVD y CVE.org se limitan al aviso de Patchstack y a la propia entrada de NVD, sin incluir listas de direcciones IP, dominios, hashes de archivos o patrones de tráfico asociados a esta vulnerabilidad.
Nota: En ausencia de IOC publicados, la monitorización debe centrarse en la detección de comportamientos anómalos en las consultas SQL dirigidas al plugin, así como en la revisión de logs de acceso y errores de base de datos. Sin embargo, estos son consejos generales y no constituyen IOC verificados para este CVE específico.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable a esta inyección SQL ciega, debes verificar la versión exacta del plugin WP BASE Booking (identificado técnicamente como wp-base-booking-of-appointments-services-and-events). La vulnerabilidad afecta a todas las versiones desde la n/d hasta la 6.4.0 inclusive.
El método más fiable es revisar el panel de administración de WordPress:
- Accede a tu panel de administración de WordPress.
- Navega hasta Plugins > Plugins instalados.
- Localiza la entrada correspondiente a WP BASE Booking.
- Comprueba el número de versión que se muestra en la columna «Versión» o en la ficha del plugin.
Si la versión instalada es igual o inferior a 6.4.0, tu sitio debe considerarse afectado y se requiere una acción inmediata. No se han publicado versiones corregidas en las fuentes consultadas, por lo que la mitigación pasa por las medidas descritas en la siguiente sección.
Además, si utilizas un servicio de gestión de vulnerabilidades o un escáner de seguridad, puedes contrastar la versión detectada con el aviso de Patchstack referenciado en las fuentes oficiales.
Mitigación y actualización
En el momento de la publicación de este análisis, no se ha publicado ninguna versión corregida del plugin que resuelva la vulnerabilidad CVE-2026-103352. Las fuentes consultadas (NVD y CVE.org) no incluyen información sobre una actualización disponible. Por tanto, la mitigación debe abordarse con medidas compensatorias.
La acción recomendada por el recolector es: «Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada». Dado que no existe un parche conocido, se deben implementar las siguientes medidas de contención:
- Desactivar el plugin si no es imprescindible para la operación del sitio. Esta es la medida más eficaz para eliminar la exposición.
- Restringir el acceso a las funcionalidades del plugin mediante reglas de firewall de aplicación web (WAF) que bloqueen patrones de inyección SQL.
- Monitorizar los registros de la base de datos y del servidor web en busca de consultas anómalas o intentos de explotación.
- Suscribirse a las alertas del fabricante y de Patchstack para recibir notificaciones cuando se publique una versión corregida.
Dado que el vector CVSS es AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L, la explotación es remota, no requiere autenticación ni interacción del usuario, y tiene un impacto alto en la confidencialidad. La exposición debe tratarse con máxima prioridad.
Checklist para administradores
- ☐ He verificado la versión instalada del plugin WP BASE Booking.
- ☐ He confirmado si mi versión está en el rango afectado (≤ 6.4.0).
- ☐ He revisado el aviso oficial de Patchstack y las referencias de NVD.
- ☐ He evaluado si el plugin es imprescindible para el funcionamiento del sitio.
- ☐ He desactivado el plugin o aplicado reglas de WAF para bloquear intentos de inyección SQL.
- ☐ He revisado los registros del servidor y de la base de datos en busca de actividad sospechosa.
- ☐ He establecido una monitorización para detectar la publicación de una versión corregida.
- ☐ He notificado al equipo de desarrollo o al responsable del sitio sobre la exposición.
Preguntas frecuentes
¿Qué es una inyección SQL ciega?
Es un tipo de ataque de inyección SQL en el que el atacante no recibe una respuesta directa de la base de datos, sino que infiere información mediante preguntas de verdadero/falso o mediante retardos en las respuestas. En este caso, la vulnerabilidad permite un impacto alto en la confidencialidad (C:H).
¿Necesito credenciales para explotar esta vulnerabilidad?
No. El vector CVSS indica PR:N (sin privilegios requeridos), lo que significa que un atacante remoto no autenticado podría explotar la vulnerabilidad.
¿Existe una versión corregida del plugin?
No publicado por las fuentes consultadas. Las referencias de NVD y CVE.org no incluyen información sobre una versión parcheada. Se recomienda monitorizar el aviso de Patchstack y el repositorio del plugin.
¿Qué debo hacer si no puedo desactivar el plugin?
Si el plugin es crítico para el negocio, aplica medidas compensatorias como reglas de firewall de aplicación web (WAF) que filtren patrones de inyección SQL, limita el acceso a las páginas que lo utilizan y monitoriza activamente los registros de la base de datos.
¿Cómo sé si mi sitio ha sido comprometido?
Revisa los registros del servidor web y de la base de datos en busca de consultas SQL anómalas, peticiones inusuales o accesos desde direcciones IP desconocidas. También puedes utilizar escáneres de malware especializados en WordPress.
¿Esta vulnerabilidad afecta a otros plugins de WP BASE?
Las fuentes consultadas solo mencionan el producto WP BASE Booking (wp-base-booking-of-appointments-services-and-events). No se ha publicado información sobre otros productos del mismo fabricante.
Fuentes oficiales
Para obtener información actualizada y detallada, consulta las siguientes referencias oficiales:
Mantente atento a las actualizaciones de estas fuentes para conocer la disponibilidad de una versión corregida y las recomendaciones oficiales del fabricante.