Qué es y cómo funciona la falla
El plugin TI WooCommerce Wishlist para WordPress, en versiones anteriores a la 2.0.7, contiene una vulnerabilidad de inyección SQL (CWE-89). La falla ocurre porque el plugin no sanitiza ni escapa la entrada de usuario antes de usarla en una consulta SQL dentro de un endpoint accesible desde el front-end del sitio. Esto permite que usuarios no autenticados realicen ataques de inyección SQL.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones del plugin TI WooCommerce Wishlist para WordPress anteriores a la 2.0.7.
Impacto y probabilidad de explotación
La vulnerabilidad tiene una puntuación CVSS de 8.6 (Alta). Sin embargo, el análisis de probabilidad de explotación (EPSS) indica solo un 0.2% de probabilidad de que sea explotada en los próximos 30 días, ubicándose en el percentil 7%. Según datos de Shodan, actualmente no hay hosts detectados en internet con esta vulnerabilidad expuesta, lo que sugiere un volumen bajo de objetivos inmediatos. La técnica MITRE ATT&CK asociada es T1190 – Exploit Public-Facing Application. El INCIBE-CERT de España clasifica la severidad como P.
Qué hacer
Los administradores de sitios que utilicen este plugin deben actualizar inmediatamente a la versión 2.0.7 o superior para parchar la vulnerabilidad.
| CVE | CVE-2026-124647 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.6 / 10 |
| EPSS | 0.2% en 30 días (percentil 7) |
| CWE | CWE-89 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.