Pretty Links – Link Management, Branding, Tracking & Sharing Plugin <= 1.6.7 - SQL Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Pretty Links, que afecta a versiones anteriores a la 1.6.8. Esta vulnerabilidad presenta un alto nivel de severidad, con un CVSS de 7.2.

Contexto técnico

El fallo se produce debido a la falta de validación adecuada de las entradas del usuario, lo que permite a un atacante ejecutar consultas SQL maliciosas. La superficie de ataque incluye formularios de entrada donde se procesan datos sin la debida sanitización.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante acceder a la base de datos del sitio, comprometiendo información sensible y potencialmente tomando control del mismo. Esto puede resultar en pérdidas económicas y daños a la reputación de la empresa.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas a los endpoints del plugin que procesan datos sin una adecuada validación, lo que les permite ejecutar comandos SQL no autorizados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Pretty Links a la versión 1.6.8 o superior. Además, se debe realizar una revisión de las configuraciones de seguridad y aplicar medidas de hardening en la base de datos.

Señales de detección

Señales de posible explotación incluyen registros de actividad inusuales en la base de datos, intentos de acceso no autorizados y errores relacionados con consultas SQL en los registros del servidor.

Alcance afectado

Las versiones del plugin Pretty Links anteriores a la 1.6.8 están afectadas. Es crucial verificar la versión instalada en todos los sitios que utilicen este plugin.