WC Vendors Marketplace <= 2.4.7 - Authenticated (Shop manager+) SQL Injection via search dates

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin WC Vendors Marketplace, que afecta a las versiones hasta la 2.4.7. Esta vulnerabilidad permite a usuarios autenticados con rol de gestor de tienda ejecutar consultas SQL maliciosas mediante la manipulación de fechas de búsqueda.

Contexto técnico

La vulnerabilidad de inyección SQL se origina en la forma en que el plugin procesa las fechas de búsqueda. Un atacante autenticado puede enviar entradas manipuladas que son procesadas sin la debida validación, permitiendo la ejecución de comandos SQL arbitrarios en la base de datos.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad de la base de datos y permitir el acceso no autorizado a información sensible. Esto podría resultar en pérdidas financieras y daño a la reputación del negocio, además de potenciales implicaciones legales.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes HTTP que incluyen parámetros manipulados relacionados con las fechas de búsqueda, lo que les permite ejecutar consultas SQL maliciosas.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin WC Vendors Marketplace a la versión 2.4.7.1 o superior. Además, se sugiere implementar medidas de validación y sanitización de entradas en todas las interacciones con la base de datos.

Señales de detección

Se deben monitorizar los registros de acceso y errores del servidor para identificar patrones inusuales en las solicitudes que incluyan parámetros de búsqueda. También es recomendable utilizar herramientas de seguridad que detecten intentos de inyección SQL.

Alcance afectado

Las versiones del plugin WC Vendors Marketplace hasta la 2.4.7 son vulnerables. Se debe prestar especial atención a las instalaciones que permiten a los usuarios autenticados con rol de gestor de tienda realizar búsquedas.