WP User Merger <= 1.5.2 - Authenticated (Admin+) SQL Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin WP User Merger, que afecta a las versiones hasta la 1.5.2. Esta falla permite a usuarios autenticados con privilegios de administrador ejecutar consultas SQL maliciosas.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las entradas de los usuarios, permitiendo que se inyecten comandos SQL no sanitizados. Esto expone la base de datos a ataques que podrían comprometer la integridad de los datos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a atacantes con acceso administrativo manipular la base de datos, lo que podría resultar en la pérdida de datos, alteración de información o incluso la toma de control total del sitio web.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la creación de solicitudes HTTP manipuladas que contienen código SQL malicioso, aprovechando las funciones del plugin que no validan adecuadamente las entradas de los usuarios.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WP User Merger a la versión 1.5.3 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de entradas y el uso de herramientas de seguridad que monitoricen la actividad sospechosa.

Señales de detección

Se pueden detectar intentos de explotación mediante registros de actividad que muestren patrones inusuales en las consultas a la base de datos, así como errores relacionados con la ejecución de SQL en el servidor.

Alcance afectado

Las versiones del plugin WP User Merger hasta la 1.5.2 son las que se consideran vulnerables. Las instalaciones que no han sido actualizadas a la versión 1.5.3 o superior están en riesgo.