TI WooCommerce Wishlist <= 2.7.3 - Unauthenticated Blind SQL Injection via Rest API

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin TI WooCommerce Wishlist hasta la versión 2.7.3, que permite la inyección SQL ciega no autenticada a través de la API REST. Esta falla puede comprometer seriamente la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las solicitudes a su API REST, permitiendo a un atacante enviar consultas SQL maliciosas sin necesidad de autenticación. Esto expone la base de datos a posibles manipulaciones y accesos no autorizados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser severo, ya que permite a un atacante acceder y manipular datos en la base de datos del sitio, lo que puede resultar en la pérdida de información sensible y afectar la integridad del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes maliciosas a la API REST del plugin, lo que les permite ejecutar consultas SQL arbitrarias sin necesidad de estar autenticados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin TI WooCommerce Wishlist a la versión 2.7.4 o superior. Además, se sugiere realizar una auditoría de seguridad del sitio y aplicar medidas de hardening en la configuración de la API REST.

Señales de detección

Señales de posible explotación incluyen registros de solicitudes inusuales a la API REST del plugin, especialmente aquellas que contienen patrones de inyección SQL, como el uso de caracteres especiales o consultas SQL complejas.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin TI WooCommerce Wishlist hasta la 2.7.3. Las instalaciones que no hayan actualizado a la versión 2.7.4 están en riesgo.