Complianz Free <= 6.3.3 & Premium <= 6.3.5 - SQL Injection via Translations

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en las versiones del plugin Complianz Free hasta la 6.3.3 y Complianz Premium hasta la 6.3.5. Esta falla, catalogada con una severidad alta y un CVSS de 8.8, puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad permite a un atacante ejecutar consultas SQL maliciosas a través de las traducciones del plugin. Esto se debe a una validación insuficiente de las entradas, lo que abre la puerta a manipulaciones en la base de datos.

Impacto potencial

El impacto potencial incluye la exposición de datos sensibles y la posibilidad de comprometer la integridad del sistema. Esto puede resultar en pérdidas económicas y de reputación para las organizaciones afectadas.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas que incluyen parámetros de traducción maliciosos, lo que les permite ejecutar comandos SQL no autorizados.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 6.3.6 o superior. Además, se debe implementar una validación rigurosa de las entradas y revisar los registros de actividad para detectar comportamientos anómalos.

Señales de detección

Señales de riesgo incluyen solicitudes inusuales en los registros de acceso que intentan manipular parámetros de traducción, así como un aumento en las consultas SQL fallidas en la base de datos.

Alcance afectado

Las versiones afectadas son Complianz Free hasta la 6.3.3 y Complianz Premium hasta la 6.3.5. Se recomienda a los usuarios de estas versiones que realicen la actualización de inmediato.