MEDIUMCVE-2026-6225CVSS 6.5

CVE-2026-6225: SQL Injection en Taskbuilder Project Management

Plataforma

wordpress

Componente

taskbuilder

Corregido en

5.0.7

Se ha descubierto una vulnerabilidad de inyección SQL ciega basada en tiempo en el plugin Taskbuilder – Project Management & Task Management Tool With Kanban Board para WordPress. Esta falla, presente en versiones desde 0.0.0 hasta la 5.0.6, permite a atacantes autenticados con privilegios de Suscriptor o superiores, inyectar consultas SQL adicionales en las existentes, comprometiendo la integridad de la base de datos. La actualización a la versión 5.0.7 es la solución recomendada.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

Impacto y Escenarios de Ataque

Un atacante que explote esta vulnerabilidad podría extraer información sensible de la base de datos de WordPress, incluyendo credenciales de usuario, datos de proyectos y otra información confidencial. La inyección SQL ciega basada en tiempo requiere un proceso de prueba y error para extraer los datos, pero la posibilidad de comprometer la base de datos es significativa. La autenticación con privilegios de Suscriptor o superiores facilita la explotación, ampliando el rango de usuarios potencialmente afectados. Este tipo de vulnerabilidad es similar a otras explotaciones de inyección SQL que han afectado a aplicaciones web, permitiendo el acceso no autorizado a datos críticos.

Contexto de Explotación

Esta vulnerabilidad fue publicada el 14 de mayo de 2026. No se ha reportado su explotación activa en campañas conocidas. La severidad se evalúa como MEDIA (CVSS 6.5). No se ha listado en KEV ni EPSS. Se recomienda monitorear la situación y aplicar las mitigaciones lo antes posible.

Inteligencia de Amenazas

Estado del Exploit

Prueba de ConceptoDesconocido
CISA KEVNO
Exposición en InternetAlta
Informes1 informe de amenaza

CISA SSVC

Explotaciónnone
Automatizableno
Impacto Técnicopartial

Vector CVSS

INTELIGENCIA DE AMENAZAS· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N6.5MEDIUMAttack VectorNetworkCómo el atacante alcanza el objetivoAttack ComplexityLowCondiciones necesarias para explotarPrivileges RequiredLowNivel de autenticación requeridoUser InteractionNoneSi la víctima debe realizar una acciónScopeUnchangedImpacto más allá del componente afectadoConfidentialityHighRiesgo de exposición de datos sensiblesIntegrityNoneRiesgo de modificación no autorizada de datosAvailabilityNoneRiesgo de interrupción del servicionextguardhq.com · Puntuación Base CVSS v3.1
¿Qué significan estas métricas?
Attack Vector
Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
Attack Complexity
Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
Privileges Required
Bajo — cualquier cuenta de usuario válida es suficiente.
User Interaction
Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
Scope
Sin cambio — el impacto se limita al componente vulnerable.
Confidentiality
Alto — pérdida total de confidencialidad. El atacante puede leer todos los datos.
Integrity
Ninguno — sin impacto en integridad.
Availability
Ninguno — sin impacto en disponibilidad.

Software Afectado

Componentetaskbuilder
Proveedorwordfence
Versión mínima0.0.0
Versión máxima5.0.6
Corregido en5.0.7

Clasificación de Debilidad (CWE)

Cronología

  1. Reservado
  2. Publicada

Mitigación y Workarounds

La solución principal es actualizar el plugin Taskbuilder a la versión 5.0.7 o superior, que corrige la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de mitigación temporales. Estas pueden incluir la implementación de reglas en un Web Application Firewall (WAF) para bloquear solicitudes con patrones sospechosos en el parámetro 'project_search'. Además, se debe revisar la configuración de la base de datos para asegurar que las consultas SQL estén correctamente parametrizadas y protegidas contra inyecciones. Después de la actualización, confirme la mitigación revisando los logs del servidor en busca de intentos de inyección SQL y verificando la integridad de la base de datos.

Cómo corregirlo

Actualizar a la versión 5.0.7, o una versión parcheada más reciente

Preguntas frecuentes

What is CVE-2026-6225 — SQL Injection en Taskbuilder Project Management?

CVE-2026-6225 describe una vulnerabilidad de inyección SQL ciega basada en tiempo en el plugin Taskbuilder para WordPress, permitiendo a atacantes autenticados extraer datos de la base de datos. Afecta versiones hasta 5.0.6.

Am I affected by CVE-2026-6225 en Taskbuilder Project Management?

Si está utilizando el plugin Taskbuilder en su sitio web de WordPress en versiones 0.0.0 hasta 5.0.6, es vulnerable a esta inyección SQL. Verifique la versión del plugin inmediatamente.

How do I fix CVE-2026-6225 en Taskbuilder Project Management?

La solución recomendada es actualizar el plugin Taskbuilder a la versión 5.0.7 o superior. Si no es posible, aplique mitigaciones temporales como reglas WAF.

Is CVE-2026-6225 being actively exploited?

Hasta el momento, no se ha reportado explotación activa de CVE-2026-6225 en campañas conocidas, pero se recomienda aplicar las mitigaciones preventivamente.

Where can I find the official Taskbuilder advisory for CVE-2026-6225?

Consulte el sitio web oficial de Taskbuilder o el repositorio de WordPress para obtener la información más reciente y el advisory oficial relacionado con CVE-2026-6225.

¿Tu proyecto está afectado?

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

liveescaneo gratuito

Escanea tu proyecto WordPress ahora — sin cuenta

Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.

Escaneo manualAlertas en Slack/emailMonitoreo continuoReportes white-label

Arrastra y suelta tu archivo de dependencias

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...