Joy Of Text Lite – SMS messaging for WordPress <= 2.3.0 - Unauthenticated SQL Injection

Resumen ejecutivo

La vulnerabilidad crítica en el plugin Joy Of Text Lite, que afecta a versiones anteriores a la 2.3.0, permite la inyección SQL no autenticada. Esta falla puede ser explotada para acceder a información sensible en la base de datos de WordPress.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las entradas de usuario, permitiendo que un atacante envíe consultas SQL maliciosas sin necesidad de autenticación. Esto expone la base de datos a manipulaciones no autorizadas.

Impacto potencial

El impacto de esta vulnerabilidad es grave, ya que podría permitir a un atacante obtener, modificar o eliminar datos críticos, comprometiendo la integridad y disponibilidad del sitio web, así como la seguridad de la información de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas a las funciones del plugin que interactúan con la base de datos, sin requerir credenciales de acceso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Joy Of Text Lite a la versión 2.3.1 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación y sanitización de entradas de usuario.

Señales de detección

Señales de riesgo incluyen registros de actividad inusual en la base de datos, intentos de inyección SQL en los logs del servidor y cambios inesperados en los datos almacenados.

Alcance afectado

Las versiones del plugin Joy Of Text Lite anteriores a la 2.3.0 están afectadas, lo que incluye todas las instalaciones que no han sido actualizadas desde la publicación de la vulnerabilidad el 8 de diciembre de 2022.