WP Statistics <= 13.1.5 - Unauthenticated Blind SQL Injection via IP

Resumen ejecutivo

La vulnerabilidad crítica en el plugin WP Statistics, identificada como CVE-2022-25149, permite una inyección SQL ciega no autenticada, afectando a versiones hasta la 13.1.5. Esta falla puede comprometer gravemente la seguridad de las instalaciones afectadas.

Contexto técnico

El fallo se origina en la forma en que el plugin gestiona las consultas SQL, permitiendo a un atacante enviar solicitudes maliciosas que pueden manipular la base de datos sin necesidad de autenticación. La superficie de ataque incluye cualquier instalación del plugin vulnerable expuesta a Internet.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante acceda a datos sensibles, altere información en la base de datos o comprometa la integridad del sitio web. Esto puede resultar en pérdidas financieras y daños a la reputación de la empresa.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas que contienen parámetros SQL maliciosos, lo que les permite realizar consultas no autorizadas a la base de datos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WP Statistics a la versión 13.1.6 o posterior. Además, se sugiere implementar medidas de seguridad adicionales como un firewall de aplicaciones web y limitaciones en el acceso a la base de datos.

Señales de detección

Señales de riesgo incluyen registros de tráfico inusual hacia el plugin, intentos de inyección SQL en las solicitudes y cambios inesperados en la base de datos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 13.1.6 del plugin WP Statistics.