🚨 Alerta crítica: Se ha identificado la vulnerabilidad CVE-2026-59550, una inyección SQL sin autenticación en el plugin AWP Classifieds para WordPress, que afecta a todas las versiones hasta la 4.4.7 inclusive. Con una puntuación CVSS de 9.3, el riesgo es máximo. Se recomienda aplicar la actualización de seguridad disponible de forma urgente.
Índice
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-59550 |
| Fabricante | Strategy11 Team |
| Producto | AWP Classifieds |
| Fecha de publicación | 2026-07-27 |
| Severidad | CRITICAL |
| CVSS | 9.3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L) |
| Puntuación de prioridad | 185 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-59550 es una inyección SQL sin autenticación (SQL Injection) en el plugin AWP Classifieds para WordPress, desarrollado por Strategy11 Team. Este fallo de seguridad permite a un atacante remoto, sin necesidad de credenciales, ejecutar consultas SQL arbitrarias sobre la base de datos del sitio web. La inyección se produce porque la aplicación no neutraliza correctamente los caracteres especiales en las entradas del usuario antes de construir comandos SQL. Está clasificada bajo el estándar CWE-89 (Improper Neutralization of Special Elements used in an SQL Command).
Al explotar esta vulnerabilidad, un atacante podría acceder, modificar o eliminar información sensible almacenada en la base de datos, como credenciales de usuarios, datos personales o contenido del sitio. Dado que no requiere autenticación, el riesgo es especialmente alto para cualquier sitio que utilice una versión afectada del plugin.
Productos y versiones vulnerables
Según las fuentes oficiales consultadas (NVD y CVE.org), el producto afectado es:
| Vendor | Producto | Versión afectada |
|---|---|---|
| Strategy11 Team | AWP Classifieds | Todas las versiones hasta 4.4.7 inclusive (≤ 4.4.7) |
No se han publicado otras versiones o productos afectados en las fuentes consultadas.
Impacto y riesgo
El vector CVSS asociado (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L) indica:
- Vector de ataque: Red (remoto).
- Complejidad de ataque: Baja.
- Privilegios requeridos: Ninguno.
- Interacción del usuario: Ninguna.
- Alcance: Cambiado (puede afectar a recursos fuera del componente vulnerable).
- Impacto en la confidencialidad: Alto.
- Impacto en la integridad: Ninguno.
- Impacto en la disponibilidad: Bajo.
Esto significa que un atacante puede explotar la vulnerabilidad de forma remota y sencilla, sin necesidad de autenticación, para leer información confidencial de la base de datos (como contraseñas, datos de usuarios o contenido privado). El impacto en la disponibilidad es bajo, pero la confidencialidad se ve gravemente comprometida. La puntuación de prioridad de 185 (según RyzerBot) refuerza la urgencia de actuar.
Estado de explotación conocida
No se ha reportado explotación activa en las fuentes oficiales consultadas (NVD, CVE.org). La selección de esta vulnerabilidad por parte de RyzerBot se basa en su publicación reciente y su puntuación CVSS ≥ 9.0, no en evidencia de explotación en curso. No obstante, dada la naturaleza crítica del fallo, se recomienda actuar con la máxima celeridad.
Indicadores de compromiso (IOC)
No se han publicado indicadores de compromiso (IOC) en las fuentes oficiales consultadas. En caso de que se identifiquen posteriormente, se actualizará esta sección. No deben inventarse IOC.
Cómo comprobar si estás afectado
Para determinar si tu sitio WordPress utiliza una versión vulnerable del plugin AWP Classifieds, sigue estos pasos:
- Accede al panel de administración de WordPress.
- Navega a Plugins → Plugins instalados.
- Localiza el plugin AWP Classifieds.
- Comprueba el número de versión que aparece junto al nombre del plugin.
- Si la versión es igual o inferior a 4.4.7, el sitio es vulnerable.
No se han publicado comandos específicos de comprobación en las fuentes oficiales.
Mitigación y actualización
La acción principal es actualizar el plugin AWP Classifieds a la última versión disponible que corrija esta vulnerabilidad. El fabricante (Strategy11 Team) ha publicado una actualización de seguridad. Se recomienda:
- Actualizar el plugin desde el repositorio oficial de WordPress o desde el panel de administración.
- Si no hay una versión corregida disponible, considerar desactivar temporalmente el plugin hasta que se publique el parche.
- Revisar el aviso oficial en Patchstack para más detalles.
No se han publicado mitigaciones alternativas en las fuentes consultadas.
Checklist para administradores
- ☐ Identificar la versión del plugin AWP Classifieds en todos los sitios WordPress gestionados.
- ☐ Si la versión es ≤ 4.4.7, planificar la actualización inmediata.
- ☐ Realizar una copia de seguridad completa de la base de datos y los archivos antes de actualizar.
- ☐ Aplicar la actualización del plugin desde el repositorio oficial o mediante el panel de administración.
- ☐ Verificar que la actualización se ha aplicado correctamente y que el sitio funciona con normalidad.
- ☐ Monitorizar los registros de acceso y base de datos en busca de actividad sospechosa.
- ☐ Revisar periódicamente las fuentes oficiales (NVD, CVE.org) para posibles actualizaciones.
Preguntas frecuentes
1. ¿Qué es una inyección SQL?
Es un tipo de ataque en el que un atacante inserta código SQL malicioso en las consultas que la aplicación realiza a la base de datos, pudiendo leer, modificar o eliminar datos sin autorización.
2. ¿Necesito autenticarme para explotar esta vulnerabilidad?
No. La vulnerabilidad no requiere autenticación, lo que significa que cualquier visitante del sitio podría explotarla.
3. ¿Qué datos podría obtener un atacante?
Un atacante podría acceder a cualquier información almacenada en la base de datos, incluyendo credenciales de usuarios, datos personales, contenido del sitio y configuraciones.
4. ¿Existe un parche disponible?
Según las fuentes consultadas, se ha publicado un aviso de seguridad. Se recomienda actualizar el plugin a la última versión disponible que corrija el fallo.
5. ¿Cómo sé si mi sitio ha sido comprometido?
No se han publicado indicadores de compromiso específicos. Se recomienda revisar los registros de acceso y base de datos en busca de consultas inusuales o actividades sospechosas.
6. ¿Debo desactivar el plugin si no puedo actualizarlo?
Sí, como medida temporal, desactivar el plugin reduce el riesgo de explotación hasta que se pueda aplicar la actualización.