CVE-2026-109925 Inyección SQL no autenticada en Productive Commerce
El plugin Productive Commerce antes de 1.1.54 no sanea ni escapa un parámetro antes de usarlo en una sentencia SQL, permitiendo a atacantes no autenticados realizar ataques de inyección SQL. Corrige en 1.1.54.
—S/D
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 18
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Productive Commerce
hasta antes de 1.1.54
Qué hacer
- Verificá si usás Productive Commerce y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The Productive Commerce WordPress plugin before 1.1.54 does not sanitise and escape a parameter before using it in a SQL statement, allowing unauthenticated attackers to perform SQL injection attacks.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.