Check & Log Email <= 1.0.2 - Admin+ SQL Injection via Order and OrderBy parameters

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Check & Log Email, que permite inyecciones SQL a través de los parámetros 'Order' y 'OrderBy'. Esta falla afecta a la versión 1.0.2 y tiene una puntuación CVSS de 7.2.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin procesa los parámetros de entrada 'Order' y 'OrderBy', lo que permite a un atacante ejecutar consultas SQL maliciosas. Esto se traduce en un riesgo significativo para la integridad de la base de datos del sitio.

Impacto potencial

La explotación exitosa de esta vulnerabilidad puede comprometer datos sensibles y permitir a un atacante acceder o modificar información en la base de datos, lo que podría tener repercusiones graves en la operación del negocio y la confianza de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas que incluyen parámetros SQL maliciosos en las peticiones dirigidas al plugin, lo que puede resultar en la ejecución de código no autorizado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.0.3 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de entradas y el uso de consultas preparadas.

Señales de detección

Se pueden detectar intentos de explotación mediante registros de acceso que muestren patrones inusuales en las solicitudes, especialmente aquellas que incluyen los parámetros 'Order' y 'OrderBy' con valores inesperados.

Alcance afectado

La vulnerabilidad afecta a todas las instalaciones del plugin Check & Log Email en su versión 1.0.2 y anteriores. Se recomienda a los administradores de sitios que verifiquen sus versiones instaladas.