Booking Calendar WpDevArt <= 3.2.11 - Authenticated (Admin+) SQL Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Booking Calendar de WpDevArt, que afecta a versiones hasta la 3.2.11. Esta vulnerabilidad tiene una gravedad alta, con un CVSS de 7.2.

Contexto técnico

La vulnerabilidad permite a un atacante autenticado con privilegios de administrador ejecutar consultas SQL maliciosas, comprometiendo así la base de datos del sitio. La superficie de ataque se centra en las funcionalidades del plugin que manejan datos sin la debida sanitización.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante acceda, modifique o elimine datos críticos del sitio web, lo que podría resultar en la pérdida de información y afectar la confianza de los usuarios en la plataforma.

Vector de explotación

Generalmente, la explotación se realiza a través de formularios o interfaces del plugin donde se procesan entradas de usuario sin validación adecuada, permitiendo la inyección de código SQL.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 3.2.12 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar y aplicar prácticas de codificación segura en el desarrollo del plugin.

Señales de detección

Señales de posible explotación incluyen registros inusuales de consultas SQL en la base de datos y comportamientos extraños en las funcionalidades del plugin que manejan entradas de usuario.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.2.12 del plugin Booking Calendar de WpDevArt.