CVE-2026-104122 Inyección SQL en Ukr-To-Lat mediante nombre de término

Qué es CVE-2026-104122

El plugin Ukr-To-Lat para WordPress, hasta la versión 1.3.5, no sanitiza ni escapa el nombre de un término antes de usarlo en una consulta SQL. Esto permite a usuarios con acceso de nivel Contributor o superior realizar ataques de inyección SQL.

Productos y versiones afectadas

• Ukr-To-Lat

  • hasta 1.3.5

Qué hacer

1. Verificá si usás Ukr-To-Lat y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 6.8 MEDIA

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Altos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The Ukr-To-Lat WordPress plugin through 1.3.5 does not sanitize and escape a term name before using it in a SQL query, allowing users with Contributor-level access and above to perform SQL injection attacks.

Referencias

• wpscan.com/vulnerability/01abcbf8-d256-49b9-b660-38c50506c441/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 17 OCT · 03:46VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.