Contact Form Generator <= 2.7.1 - Authenticated (Contributor+) SQL Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de inyección SQL en el plugin Contact Form Generator, que afecta a las versiones hasta la 2.7.1. Esta falla permite a usuarios autenticados con rol de contribuyente o superior ejecutar consultas SQL maliciosas.

Contexto técnico

La vulnerabilidad se encuentra en la forma en que el plugin gestiona las entradas de los usuarios, permitiendo que datos no validados sean utilizados en consultas SQL. Esto expone a la base de datos a posibles manipulaciones y accesos no autorizados.

Impacto potencial

El impacto potencial de esta vulnerabilidad es alto, ya que puede permitir a un atacante acceder a información sensible almacenada en la base de datos, comprometiendo la integridad y confidencialidad de los datos del sitio web y sus usuarios.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante la creación de peticiones HTTP manipuladas que incluyen cargas útiles SQL. Un atacante autenticado puede enviar datos especialmente diseñados a través de formularios del plugin para ejecutar consultas dañinas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Contact Form Generator a la versión 2.9.0 o superior. Además, se debe realizar una revisión de los permisos de usuario y aplicar medidas de seguridad adicionales como la validación de entradas.

Señales de detección

Señales de posible explotación incluyen registros inusuales de consultas SQL en los logs del servidor, así como cambios inesperados en la base de datos o en la funcionalidad del plugin.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Contact Form Generator hasta la 2.7.1. Las instalaciones que utilizan estas versiones están en riesgo y deben ser actualizadas.