CVE-2026-7618

Nome do Software Vulnerável e Versões Afetadas EnvíaloSimple: Email Marketing y Newsletters versões anteriores a 2.4.6

Descrição Atacantes autenticados com nível de acesso de administrador ou superior podem realizar uma Injeção SQL cega baseada em tempo. Isso ocorre devido à escape insuficiente do parâmetro orderby fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente, permitindo a adição de consultas SQL maliciosas para extrair informações sensíveis do banco de dados.

Recomendações Atualize o EnvíaloSimple: Email Marketing y Newsletters para a versão 2.4.6 ou posterior. Como mitigação temporária, restrinja o acesso ao parâmetro orderby para usuários administradores até que a atualização seja aplicada.