Vulnerabilidad en plugin Booking for Appointments and Events Calendar para WordPress (CVE-2026-4668)

El plugin Booking for Appointments and Events Calendar - Amelia para WordPress es vulnerable a inyección SQL a través del parámetro `sort` en el endpoint de listado de pagos en todas las versiones hasta la 2.1.2, inclusive. Esto se debe a un escape insuficiente en el parámetro `sort` proporcionado por el usuario y a la falta de preparación suficiente en la consulta SQL existente en `PaymentRepository.php`, donde el campo de ordenación se interpola directamente en una cláusula ORDER BY sin saneamiento o validación de lista blanca. Las sentencias preparadas de PDO no protegen los nombres de columna de ORDER BY. Las solicitudes GET también omiten por completo la validación nonce de Amelia. Esto hace posible que atacantes autenticados, con acceso de nivel de Gerente (`wpamelia-manager`) y superior, añadan consultas SQL adicionales en consultas ya existentes que pueden usarse para extraer información sensible de la base de datos a través de inyección SQL ciega basada en tiempo.