En pocas palabras: Hay que actualizar Ajax Search Lite a la versión 4.14.7 para corregir el CVE-2026-111852, una inyección SQL ciega con CVSS 9.3/10 que no requiere autenticación. Afecta todas las versiones hasta la 4.14.6 inclusive. WPdreams ya publicó el parche correspondiente.
Si tenés el plugin Ajax Search Lite instalado en tu WordPress, parate un segundo: WPdreams liberó la versión 4.14.7 para corregir el CVE-2026-111852, una inyección SQL ciega con score 9.3/10 en CVSS que no requiere autenticación. Todas las versiones hasta la 4.14.6 están expuestas.
CVE-2026-111852 es una vulnerabilidad de tipo SQL Injection ciega (Blind SQL Injection) clasificada como CWE-89, descubierta en el plugin Ajax Search Lite de WPdreams para WordPress. Afecta a todas las versiones hasta la 4.14.6 inclusive y permite a un atacante sin credenciales leer, modificar o eliminar datos de la base.
En este artículo:
- En 30 segundos
- ¿Qué versión de Ajax Search Lite corrige el CVE-2026-111852?
- ¿Qué tan grave es esta vulnerabilidad de SQL injection?
- ¿Quién puede explotar esta falla y qué puede hacer con ella?
- ¿Cómo actualizar Ajax Search Lite para solucionar el problema?
- ¿Qué hacer si no podés actualizar el plugin de inmediato?
- Qué está confirmado y qué no
- Errores comunes al manejar este tipo de CVE
- Preguntas Frecuentes
- Conclusión
- Fuentes
En 30 segundos
- El CVE-2026-111852 tiene CVSS 9.3/10, severidad crítica, y afecta Ajax Search Lite <= 4.14.6.
- Es explotable sin autenticación (Unauthenticated) y sin interacción del usuario, según Patchstack.
- WPdreams lanzó la versión 4.14.7 con el parche correspondiente.
- Patchstack clasificó la falla como «alta prioridad» y advierte que suele usarse en campañas de explotación masiva.
- El investigador dzaku reportó la vulnerabilidad el 16 de octubre de 2026.
¿Qué versión de Ajax Search Lite corrige el CVE-2026-111852?
La versión parcheada es 4.14.7, publicada por WPdreams. Todas las versiones anteriores, incluida la 4.14.6, quedan marcadas como vulnerables según el registro de Patchstack.
Patchstack fechó la publicación el 19 de octubre de 2026, tres días después de que dzaku reportara el hallazgo (16 de octubre). El advisory de GitHub confirma la severidad crítica y lo registra también el 21 de octubre, en línea con la ficha de strix.ai publicada el mismo día.
Si administrás varios sitios con este plugin, no asumas que «la mayoría ya está actualizada». Revisá uno por uno. El dashboard de plugins de WordPress te muestra la versión instalada al lado del nombre, y si dice 4.14.6 o menos, estás expuesto.
¿Qué tan grave es esta vulnerabilidad de SQL injection?
Es crítica: 9.3 sobre 10 en la escala CVSS 3.1, con vector AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L. Eso significa ataque remoto (red), baja complejidad, sin privilegios necesarios y sin interacción del usuario. El impacto en confidencialidad es alto.
Hay un detalle del vector que suele pasarse por alto: la «S» marcada como C (Scope Changed). En CVSS, eso indica que el daño no se queda encerrado dentro del propio plugin, sino que puede afectar recursos que están fuera de su control directo —en este caso, la base de datos completa del sitio, compartida por WordPress, otros plugins y el tema. Es la razón técnica por la que un bug en «el buscador» termina comprometiendo todo lo que vive en esa base, no solo lo que el plugin usa para funcionar.
Patchstack la clasifica como «alta prioridad» y es textual su advertencia: «vulnerabilidades como esta se usan en campañas de explotación masiva» que atacan miles de sitios «sin importar el tráfico o la popularidad». Eso cambia la lógica habitual de «a mi sitio chico no lo van a mirar». Con un CVE sin autenticación, los bots escanean en bloque, no eligen víctimas.
El tipo de falla es CWE-89, Neutralización Impropia de Elementos Especiales usados en un Comando SQL. Es la categoría clásica de inyección SQL, la misma familia que lleva décadas en el top de OWASP (acá entra en A3: Injection, según la propia ficha de Patchstack).
¿Quién puede explotar esta falla y qué puede hacer con ella?
Cualquier atacante sin cuenta en tu WordPress puede explotarla, porque Patchstack la marca como «Unauthenticated». No necesita loguearse, no necesita permisos de editor ni de admin. Solo necesita que tu sitio tenga el plugin activo y expuesto en una URL pública.
Al ser Blind SQL Injection, el atacante no ve directamente el resultado de la consulta en pantalla. ¿Entonces cómo extrae datos? Infiere respuestas observando tiempos de respuesta o comportamientos condicionales del servidor, consulta por consulta, hasta reconstruir tablas enteras. Es más lento que una inyección clásica con output visible, pero igual de efectivo si nadie lo frena.
Ejemplo hipotético (no es un caso real, sirve solo para ilustrar el mecanismo): imaginemos un atacante que manda una búsqueda en el formulario del plugin con una condición SQL incrustada que pregunta, en esencia, «¿el primer carácter de la contraseña hasheada del usuario admin es una letra entre la A y la M?». Si la respuesta es «sí», la página tarda un poco más en cargar (porque la consulta forzó una demora condicional); si es «no», responde normal. Repitiendo esa pregunta binaria miles de veces, con distintos rangos de caracteres, se puede reconstruir dato por dato sin que nunca aparezca nada visible en pantalla. Eso es lo que distingue a una inyección «ciega» de una clásica: no hay mensaje de error ni resultado filtrado, solo señales indirectas que, acumuladas, delatan el contenido de la base.
Con el vector C:H/I:N/A:L, el riesgo principal es la confidencialidad: lectura masiva de la base de datos. Según Patchstack, eso incluye «cuentas de usuario y datos privados». Pensá en tablas de usuarios con hashes de contraseñas, configuraciones internas, o cualquier dato que guardes en WordPress sin cifrar.
¿Cómo actualizar Ajax Search Lite para solucionar el problema?
Actualizá a la versión 4.14.7 o superior desde el panel de plugins de WordPress. Es el único camino para cerrar el CVE-2026-111852 de forma definitiva, según indica Patchstack en su ficha.
- Hacé un backup antes de actualizar. No por el plugin en sí, sino porque cualquier update de WordPress puede chocar con otro plugin o con el tema que tengas instalado.
- Entrá a Plugins > Plugins instalados y buscá Ajax Search Lite. Si WordPress te muestra el aviso de actualización disponible, hacé clic en «Actualizar ahora».
- Verificá la versión post-update. Tiene que decir 4.14.7 (o una posterior) al lado del nombre del plugin.
- Probá el buscador del sitio. Hacé una búsqueda real para confirmar que el plugin sigue funcionando después del parche.
Si administrás varios sitios y no podés actualizar todo en el mismo momento, conviene priorizar según el riesgo real de cada caso, no por orden alfabético de dominios. Una forma simple de ordenar la urgencia:
- Podés actualizar en los próximos 30 minutos: hacelo ya, sin esperar una «ventana de mantenimiento». El riesgo de romper algo con un update menor es mucho menor que el de quedar expuesto a un bug sin autenticación.
- No podés actualizar ahora, pero el buscador no es imprescindible: desactivá el plugin temporalmente y programá la actualización para cuando puedas revisar que todo funcione bien.
- No podés actualizar ahora y el buscador es crítico para el sitio (por ejemplo, un e-commerce con catálogo grande): pedile a tu hosting o a quien mantiene el sitio una regla de mitigación tipo WAF mientras coordinás la actualización, en lugar de dejarlo correr «hasta que se pueda».
Patchstack también ofrece auto-update específico para plugins vulnerables a sus usuarios, lo cual evita tener que monitorear CVEs manualmente. Si manejás varios sitios con WordPress, evaluar ese tipo de automatización no es un lujo, es lo mínimo.
¿Qué hacer si no podés actualizar el plugin de inmediato?
Si por algún motivo técnico no podés actualizar ya, la opción más segura es desactivar el plugin temporalmente. Sin el código vulnerable corriendo, no hay superficie de ataque, aunque pierdas la funcionalidad de búsqueda avanzada hasta resolver el parche.
Si el buscador es crítico para tu sitio y no podés simplemente apagarlo, consultá con tu hosting o con quien te mantiene el sitio. Patchstack ofrece reglas de mitigación tipo WAF que bloquean los patrones de ataque conocidos mientras actualizás con calma. No es una solución permanente, es un parche de emergencia.
Si tenés el sitio alojado en infraestructura propia o VPS, revisar logs del servidor en busca de patrones de consultas SQL anómalas te puede dar una pista temprana de si ya te están probando.
Qué está confirmado y qué no
Confirmado: CVSS 9.3, tipo Blind SQL Injection, versiones afectadas hasta 4.14.6, parche en 4.14.7, explotación sin autenticación. Todo esto surge de las fichas de Patchstack y strix.ai.
No confirmado todavía: si ya existen exploits activos en el mundo real explotando esta falla específica. El advisory de GitHub marca el estado como «Unreviewed» y el análisis del NVD como «pendiente». Eso no significa que estés a salvo, significa que la comunidad de seguridad todavía no terminó de documentar el alcance completo.
Errores comunes al manejar este tipo de CVE
El primero: confiar en que «nadie va a atacar mi sitio chico». Falso. Patchstack es explícito en que este tipo de fallas sin autenticación se usa en campañas automatizadas que atacan miles de sitios a la vez, sin importar el tamaño o el tráfico.
El segundo: actualizar el plugin y no verificar que la actualización realmente se aplicó. A veces un error de permisos de archivos o un timeout deja la actualización a medio camino. Entrá y confirmá la versión instalada, no asumas.
El tercero: pensar que porque el plugin está «solo para búsqueda» el riesgo es bajo. El vector de ataque es el formulario de búsqueda, sí, pero el impacto llega hasta la base de datos completa (justamente por el «Scope Changed» del vector CVSS que explicamos más arriba). No hay proporción entre lo chico de la función y lo grande del daño posible.
Preguntas Frecuentes
¿Qué versión de Ajax Search Lite corrige el CVE-2026-111852?
La versión 4.14.7, publicada por WPdreams, corrige la falla. Cualquier versión igual o anterior a 4.14.6 queda vulnerable según el registro oficial de Patchstack.
¿Cómo sé si mi WordPress tiene Ajax Search Lite instalado y vulnerable?
Entrá a Plugins > Plugins instalados en tu panel de WordPress y buscá «Ajax Search Lite» en la lista. Si figura activo con versión 4.14.6 o inferior, tu sitio está expuesto al CVE-2026-111852.
¿Es necesario estar autenticado para explotar esta vulnerabilidad?
No. Patchstack clasifica el privilegio requerido como «Unauthenticated», lo que significa que cualquier visitante anónimo puede intentar la explotación sin necesitar usuario ni contraseña del sitio.
¿Qué datos puede comprometer un atacante con esta SQL injection?
Puede leer, modificar o borrar información de la base de datos completa, incluyendo cuentas de usuario y datos privados, según describe Patchstack. Al ser una inyección ciega, la extracción es más lenta pero igual de completa.
¿Qué hago si no puedo actualizar el plugin de inmediato?
Desactivá el plugin temporalmente hasta poder aplicar el parche, o pedile a tu hosting una regla de mitigación tipo WAF mientras tanto. Ninguna de las dos opciones es permanente, pero cortan el riesgo mientras resolvés la actualización.
Conclusión
El CVE-2026-111852 es otro recordatorio de que los plugins de búsqueda, justamente por estar expuestos a cualquier visitante sin login, son un blanco perfecto para inyecciones SQL. WPdreams ya resolvió el problema en la versión 4.14.7, así que la acción concreta es simple: actualizar ya. Si administrás más de un sitio con este plugin, hacé el chequeo en todos, no solo en el principal. Y si todavía no tenés un proceso de monitoreo de CVEs para tus plugins críticos, este es un buen momento para armarlo.