Tutor LMS <= 2.2.0 - Authenticated (Student+) SQL Injection (inyeccion SQL) - version 2.2.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Tutor LMS, que afecta a las versiones anteriores a la 2.2.1. Esta vulnerabilidad, con una severidad alta, puede ser aprovechada por usuarios autenticados con rol de estudiante o superior.

Contexto técnico

La vulnerabilidad se origina en una inyección SQL que permite a un atacante ejecutar consultas maliciosas en la base de datos del sitio. Esto puede comprometer la integridad de los datos y permitir el acceso no autorizado a información sensible.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante manipular la base de datos, lo que podría resultar en la pérdida de datos, alteración de información crítica y potencial acceso a datos personales de usuarios.

Vector de explotación

Generalmente, la explotación se realiza mediante la manipulación de parámetros en las solicitudes HTTP, permitiendo al atacante inyectar código SQL que la aplicación no valida correctamente.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Tutor LMS a la versión 2.2.1 o superior. Además, se sugiere revisar los registros de acceso y realizar auditorías de seguridad en la base de datos.

Señales de detección

Las señales de posible explotación incluyen consultas inusuales en los registros de la base de datos, así como actividad sospechosa por parte de usuarios autenticados.

Alcance afectado

Las versiones del plugin Tutor LMS anteriores a la 2.2.1 son las que se consideran afectadas por esta vulnerabilidad.