WordPress Core < 6.0.3 - SQL Injection via WP_Date_Query (inyeccion SQL) - version 3.7.40

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de inyección SQL en el núcleo de WordPress, afectando a versiones anteriores a la 6.0.3. Esta falla puede permitir a un atacante manipular consultas SQL, lo que podría comprometer la integridad de la base de datos.

Contexto técnico

La vulnerabilidad se origina en la clase WP_Date_Query del núcleo de WordPress, donde la falta de validación adecuada de los parámetros de entrada permite la inyección de código SQL malicioso. Esto se traduce en un vector de ataque que puede ser explotado a través de solicitudes HTTP manipuladas.

Impacto potencial

La explotación de esta vulnerabilidad puede tener consecuencias graves, incluyendo la exposición y modificación de datos sensibles, así como la posibilidad de comprometer completamente el sitio web. Esto podría resultar en pérdidas financieras y daños a la reputación de la organización.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes HTTP que incluyen parámetros manipulados, lo que les permite ejecutar consultas SQL no autorizadas en la base de datos de WordPress.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 3.7.40. Actualiza WordPress core a la versión 3.7.40 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 3.7.40, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Se deben monitorizar los registros de acceso en busca de patrones inusuales, como solicitudes con parámetros SQL maliciosos o errores relacionados con la base de datos que puedan indicar un intento de explotación.

Alcance afectado

Las versiones de WordPress anteriores a la 6.0.3 son vulnerables. Es crucial verificar la versión instalada y realizar actualizaciones inmediatas si se encuentra una versión afectada.