RSVPMaker <= 9.9.3 - Authenticated (Admin+) SQL Injection via 'delete' parameter

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin RSVPMaker, que afecta a las versiones hasta la 9.9.3. Esta falla permite a un usuario autenticado con privilegios de administrador ejecutar consultas SQL maliciosas a través del parámetro 'delete'.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la entrada del parámetro 'delete'. Un atacante con acceso de administrador puede manipular este parámetro para inyectar código SQL, lo que podría comprometer la base de datos del sitio.

Impacto potencial

El impacto de esta vulnerabilidad es significativo, ya que permite a un atacante acceder y modificar datos en la base de datos, lo que puede llevar a la pérdida de información sensible y a la alteración de la funcionalidad del sitio web.

Vector de explotación

La explotación se lleva a cabo mediante la manipulación del parámetro 'delete' en las solicitudes HTTP, lo que permite ejecutar comandos SQL no autorizados una vez que el atacante ha iniciado sesión como administrador.

Mitigación recomendada

Se recomienda actualizar el plugin RSVPMaker a la versión 9.9.4 o superior para mitigar esta vulnerabilidad. Además, es aconsejable revisar los registros de acceso y las actividades inusuales en la base de datos.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en la base de datos, registros de errores relacionados con SQL y actividad inusual en las cuentas de administrador.

Alcance afectado

Las versiones del plugin RSVPMaker hasta la 9.9.3 son vulnerables. La versión 9.9.4 ha corregido esta falla.