Qué es la vulnerabilidad
El plugin WP Ultimate CSV Importer para WordPress en versiones anteriores a la 9.3 no sanitiza valores de archivos importados antes de usarlos en consultas SQL durante la importación de contenido de LifterLMS. Esto permite a usuarios con altos privilegios (como administradores) ejecutar ataques de inyección SQL.
Impacto y probabilidad de explotación
Según EPSS, existe un 0.2% de probabilidad de explotación real en los próximos 30 días (percentil 5%). Shodan no reporta hosts expuestos en internet actualmente. INCIBE-CERT de España clasifica la severidad como P (por determinar).
Qué hacer
Los usuarios deben actualizar el plugin a la versión 9.3 o superior inmediatamente para mitigar el riesgo.
| CVE | CVE-2026-126640 |
|---|---|
| Severidad | HIGH |
| EPSS | 0.2% en 30 días (percentil 5) |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
The WP Ultimate CSV Importer WordPress plugin 9.3
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).