HUSKY – Products Filter for WooCommerce (formerly WOOF) <= 1.3.4.2 - Unauthenticated SQL Injection via search terms en Woocommerce Products Filter (inyeccion SQL) - version 1.3.4.3

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin HUSKY – Products Filter for WooCommerce, que permite inyecciones SQL no autenticadas a través de términos de búsqueda. Esta falla afecta a las versiones hasta la 1.3.4.2 y tiene un CVSS de 9.8.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin procesa los términos de búsqueda, lo que permite a un atacante enviar consultas SQL maliciosas sin necesidad de autenticación. Esto expone la base de datos del sitio a manipulaciones no autorizadas.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad de la base de datos, permitiendo a los atacantes acceder, modificar o eliminar información sensible. Esto puede resultar en pérdidas económicas y daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes HTTP manipuladas que incluyen términos de búsqueda especialmente diseñados para ejecutar consultas SQL maliciosas en la base de datos del sitio.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.3.4.3 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de entradas y el uso de firewalls de aplicaciones web.

Señales de detección

Se pueden detectar intentos de explotación mediante registros de acceso que muestren patrones inusuales en las solicitudes de búsqueda, así como errores en la base de datos que indiquen intentos de inyección SQL.

Alcance afectado

Las versiones del plugin HUSKY – Products Filter for WooCommerce hasta la 1.3.4.2 están afectadas. Los usuarios deben verificar sus instalaciones para asegurarse de que están utilizando una versión segura.