CVE-2026-91833 Inyección SQL en WX Subscribe mediante el parámetro attach
El plugin WX Subscribe para WordPress hasta la versión 1.2.1 no sanitiza ni escapa un parámetro antes de usarlo en una sentencia SQL, lo que permite a atacantes no autenticados realizar ataques de inyección SQL en instalaciones donde no se configuró la clave de pago.
6.8MEDIA
CVSS 3.1
- Probabilidad de explotación0,2 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
WX Subscribe 微信支付付费订阅
hasta 1.2.1
Qué hacer
- Verificá si usás WX Subscribe 微信支付付费订阅 y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.8 MEDIA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
The WX Subscribe 微信支付付费订阅 WordPress plugin through 1.2.1 does not sanitise and escape a parameter before using it in a SQL statement, allowing unauthenticated attackers to perform SQL injection attacks on installs where the payment key has not been configured.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.