top of page
Buscar

Inyección SQL crítica en el plugin All-in-One WP Migration permite la toma de control de sitios WordPress (CVE-2026-19949)

4 sept
2 min de lectura

Una vulnerabilidad de inyección SQL (SQLi) no autenticada, catalogada bajo el identificador CVE-2026-19949, compromete la seguridad del plugin All-in-One WP Migration, una de las soluciones de copia de seguridad y migración más extendidas del ecosistema WordPress con más de 5 millones de instalaciones activas. El fallo permite a actores de amenazas remotos interactuar directamente con la base de datos sin necesidad de credenciales previas, abriendo la puerta a la extracción de datos confidenciales, la creación de usuarios con privilegios elevados y, en última instancia, la ejecución remota de código (RCE) para el control total del servidor web.


Desarrollo / Análisis técnico

El problema radica en la ausencia de validación y parametrización de entradas suministradas por el usuario en los controladores de exportación e importación del plugin.

  • Vector de entrada: El endpoint afectado es accesible de forma remota sin validación de permisos (current_user_can()) ni verificación de tokens de seguridad (nonces), lo que expone la funcionalidad a cualquier cliente HTTP externo.

  • Mecánica de la inyección: Al procesar peticiones manipuladas dirigidas a las rutinas de gestión de copias de seguridad, el plugin concatena directamente los parámetros recibidos en sentencias SQL dinámicas en lugar de utilizar métodos seguros y preparados (como $wpdb->prepare()).

  • Cadena de explotación hacia RCE: A través de esta brecha SQLi, un atacante no autenticado puede consultar o alterar las tablas de la base de datos de WordPress. El vector más crítico consiste en insertar directamente un nuevo usuario administrador en la tabla wp_users y otorgarle capacidades completas en wp_usermeta. Una vez obtenido el acceso autenticado al panel de administración (/wp-admin), el atacante puede subir extensiones o temas modificados con web shells, logrando la ejecución de código PHP arbitrario en el servidor anfitrión.


Alcance e impacto verificado

  • Software afectado: Plugin All-in-One WP Migration (versiones exactas vulnerables: dato no disponible; contrastar en el changelog oficial de ServMask).

  • Base de instalaciones expuesta: Más de 5 millones de sitios web tienen este componente instalado.

  • Estado de explotación activa: Dato no disponible (pendiente de confirmación en catálogos de vulnerabilidades explotadas activamente como CISA KEV).

  • Impacto operativo: Compromiso absoluto de la confidencialidad, integridad y disponibilidad del sitio. Posibilidad de exfiltración masiva de credenciales y datos de clientes, inyección de código malicioso (malvertising, pasarelas de phishing) o secuestro de la infraestructura para su integración en botnets.


Mitigación y recomendaciones

  • Actualización prioritaria: Instalar de inmediato la versión corregida publicada por el desarrollador (ServMask) desde el panel de control de WordPress o mediante WP-CLI:

wp plugin update all-in-one-wp-migration


  • Auditoría de cuentas y accesos: Revisar la tabla wp_users en busca de administradores no autorizados o creados en fechas anómalas recientes. Inspeccionar los registros de autenticación del servidor web.

  • Reglas en WAF (Web Application Firewall): Implementar firmas para inspección profunda de paquetes que detecten y bloqueen patrones de inyección SQL dirigidos a los endpoints AJAX o REST del plugin.

  • Reducción de superficie de ataque: Como buena práctica general, desinstalar o desactivar herramientas de migración y clonación una vez completadas las tareas operativas en entornos de producción.

 
 
 

Comentarios

bottom of page