Qué es y cómo funciona
El plugin Give - Peer-to-Peer para WordPress es vulnerable a una inyección SQL de tipo time-based a través del parámetro sort. Esto se debe a un escape insuficiente de la entrada del usuario y a una preparación inadecuada de la consulta SQL. Un atacante sin autenticar puede inyectar consultas SQL adicionales para extraer información confidencial de la base de datos. Para una explotación exitosa, debe existir al menos una campaña Peer-to-Peer creada en el sitio.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones del plugin hasta la 2.9.3 inclusive.
Impacto y explotación
La vulnerabilidad tiene una puntuación CVSS de 7.5 (Alta). Según el análisis EPSS, existe una probabilidad del 0.8% de que sea explotada en los próximos 30 días, ubicándose en el percentil 57%. Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada. Esta falla puede combinarse con CVE-2026-82663 para lograr una ejecución remota de código sin autenticación.
Qué hacer
Se recomienda a los administradores de sitios que utilicen este plugin actualizar a una versión posterior a la 2.9.3 tan pronto como esté disponible, ya que el CVE fue catalogado como crítico/alto y publicado en las últimas 24 horas.
| CVE | CVE-2026-82568 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.5 / 10 |
| EPSS | 0.8% en 30 días (percentil 57) |
| CWE | CWE-89 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.