Resumen ejecutivo
Se ha identificado una vulnerabilidad crítica en el plugin Master Elements, que permite la inyección SQL no autenticada. Esta falla afecta a las versiones anteriores a la 8.0 y tiene un CVSS de 9.8, lo que indica su alta gravedad.
Fuente base de datos: Wordfence Intelligence
Master Elements <= 8.0 - Unauthenticated SQL injection (inyeccion SQL)
PLUGIN
CRITICAL
CVE-2022-0693
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.
Contexto técnico
La vulnerabilidad se manifiesta como una inyección SQL, que permite a un atacante ejecutar consultas maliciosas en la base de datos del sitio. Esto se puede realizar sin necesidad de autenticación, lo que amplía la superficie de ataque y facilita la explotación.
Impacto potencial
El impacto de esta vulnerabilidad puede ser devastador, permitiendo a un atacante acceder, modificar o eliminar datos en la base de datos del sitio. Esto podría resultar en la pérdida de información sensible y comprometer la integridad del sitio web, afectando la confianza de los usuarios y la reputación del negocio.
Vector de explotación
La explotación de esta vulnerabilidad suele llevarse a cabo mediante la manipulación de parámetros en las solicitudes HTTP, permitiendo a un atacante inyectar código SQL malicioso que puede ser ejecutado por el servidor.
Mitigación recomendada
Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Master Elements a la versión 8.0 o superior. Además, es aconsejable realizar auditorías de seguridad periódicas y aplicar prácticas de hardening en la base de datos.
Señales de detección
Señales de posible explotación incluyen registros de errores de SQL inusuales, peticiones HTTP con parámetros sospechosos y actividades inusuales en la base de datos.
Alcance afectado
Las versiones afectadas son todas las anteriores a la 8.0 del plugin Master Elements. Se debe verificar la instalación y actualizar a la versión segura.
Vulnerabilidades relacionadas
MEDIUM
PLUGIN
form-maker
Form Maker by 10Web <= 1.15.40 - Authenticated (Administrator+) SQL Injection via 'ip_search' Parameter
MEDIUM
PLUGIN
tutor
Tutor LMS <= 3.9.8 - Authenticated (Admin+) SQL Injection via 'date' Parameter
MEDIUM
PLUGIN
masterstudy-lms-learning-management-system
MasterStudy LMS <= 3.7.25 - Authenticated (Subscriber+) Time-based Blind SQL Injection via 'order' and 'orderby' Parameters
HIGH
PLUGIN
riaxe-product-customizer
Riaxe Product Customizer <= 2.1.2 - Unauthenticated SQL Injection via 'options' Parameter Keys in product_data
MEDIUM
PLUGIN
online-accessibility
Accessibility Suite by Ability, Inc <= 4.20 - Authenticated (Subscriber+) SQL Injection via 'scan_id' Parameter
HIGH
PLUGIN
directorypress
DirectoryPress – Business Directory And Classified Ad Listing <= 3.6.26 - Unauthenticated SQL Injection via 'packages'
HIGH
PLUGIN
jet-engine
JetEngine <= 3.8.6.1 - Unauthenticated SQL Injection via '_cct_search' Parameter
MEDIUM
PLUGIN
lifterlms
LifterLMS <= 9.2.1 - Authenticated (Custom+) SQL Injection via 'order' Parameter
¿Tu WordPress podría estar expuesto?
Comprueba si tu web tiene esta vulnerabilidad
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
¿Necesitas ayuda de un experto?
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un experto