Transbank Webpay REST <= 1.6.6 - Authenticated (Administrator+) SQL Injection via orderby

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Transbank Webpay REST, que afecta a versiones hasta la 1.6.6. Esta falla crítica permite a un atacante autenticado con privilegios de administrador manipular consultas SQL a través del parámetro 'orderby'.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las entradas del usuario en las consultas SQL. Un atacante que tenga acceso como administrador puede modificar el parámetro 'orderby' en las solicitudes, lo que puede llevar a la ejecución de consultas SQL arbitrarias en la base de datos del sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad de la base de datos, permitiendo a un atacante acceder, modificar o eliminar datos críticos. Esto puede resultar en pérdidas financieras, daños a la reputación y afectaciones a la continuidad del negocio.

Vector de explotación

Normalmente, la explotación se realiza mediante la manipulación de solicitudes HTTP que incluyen el parámetro 'orderby', lo que permite al atacante ejecutar código SQL no autorizado en el servidor.

Mitigación recomendada

Se recomienda actualizar el plugin Transbank Webpay REST a la versión 1.6.7 o superior. Además, se sugiere revisar las configuraciones de seguridad del servidor y aplicar medidas de hardening para proteger las bases de datos.

Señales de detección

Se deben monitorizar logs de acceso y errores en busca de patrones inusuales relacionados con el uso del parámetro 'orderby'. También se pueden implementar herramientas de detección de intrusiones que alerten sobre intentos de inyección SQL.

Alcance afectado

Las versiones del plugin Transbank Webpay REST desde la 1.0 hasta la 1.6.6 son vulnerables. Las instalaciones que no han actualizado a la versión 1.6.7 están en riesgo.