CVE-2026-19949
El plugin All-in-One WP Migration and Backup para WordPress es vulnerable a inyección SQL a través de la funcionalidad de restauración de archivos en todas las versiones hasta la 7.109 incluida, debido a un escape insuficiente del parámetro suministrado por el usuario y a la falta de preparación suficiente en la consulta SQL existente. Esto permite a atacantes no autenticados añadir consultas SQL adicionales a consultas ya existentes que pueden utilizarse para extraer información confidencial de la base de datos. Esto puede aprovecharse para obtener la ai1wm_secret_key cuando un administrador del sitio realiza una restauración de archivo y lograr la ejecución remota de código una vez que se pueda aprovechar el valor de ai1wm_secret_key.
Preaviso: explotación observada
- Explotación observada desde el 13 oct 2026
- Todavía no está en el catálogo oficial de CISA
- Primer ataque observado 49 días después de la divulgación
Fuente: VulnCheck KEV · 13 oct 2026
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HArtículos relacionados
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.