Resumen ejecutivo
Se ha identificado una vulnerabilidad crítica en el plugin WPvivid Backup and Migration, que permite la inyección SQL no autenticada. Esta falla afecta a las versiones hasta la 0.9.68 y tiene un CVSS de 9.8.
Fuente base de datos: Wordfence Intelligence
WPvivid Backup and Migration <= 0.9.68 - Unauthenticated SQL Injection
PLUGIN
CRITICAL
CVE-2024-1981
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.
Contexto técnico
La vulnerabilidad se origina en la falta de validación de entradas en el plugin, lo que permite a un atacante ejecutar consultas SQL arbitrarias en la base de datos del sitio. Esto se puede realizar sin necesidad de autenticación, lo que amplifica el riesgo.
Impacto potencial
La explotación de esta vulnerabilidad puede comprometer la integridad y la confidencialidad de los datos almacenados en la base de datos, permitiendo a un atacante acceder a información sensible o modificar datos críticos, lo que podría resultar en pérdidas financieras y de reputación para la organización.
Vector de explotación
Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a puntos finales del plugin que no validan correctamente las entradas, facilitando la ejecución de comandos SQL no autorizados.
Mitigación recomendada
Se recomienda actualizar el plugin WPvivid Backup and Migration a la versión 0.9.69 o superior para mitigar esta vulnerabilidad. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de entradas y el uso de firewalls de aplicaciones web.
Señales de detección
Se deben monitorizar los registros de acceso en busca de patrones inusuales de solicitudes que intenten ejecutar comandos SQL o que provengan de direcciones IP sospechosas.
Alcance afectado
Las versiones del plugin WPvivid Backup and Migration hasta la 0.9.68 están afectadas por esta vulnerabilidad. Es crucial verificar las instalaciones para asegurar que no se esté utilizando una versión vulnerable.
Vulnerabilidades relacionadas
MEDIUM
PLUGIN
ameliabooking
Amelia <= 2.1.2 - Authenticated (Manager+) SQL Injection via 'sort' Parameter
HIGH
PLUGIN
js-support-ticket
JS Help Desk – AI-Powered Support & Ticketing System <= 3.0.4 - Unauthenticated SQL Injection via 'multiformid' Parameter
HIGH
THEME
noo-jobmonster
Noo JobMonster < 4.8.4 - Unauthenticated SQL Injection
HIGH
PLUGIN
addon-jobsearch-chat
Addon Jobsearch Chat <= 3.0 - Unauthenticated SQL Injection
MEDIUM
PLUGIN
quiz-master-next
Quiz and Survey Master (QSM) <= 10.3.5 - Authenticated (Contributor+) SQL Injection via 'merged_question' Parameter
HIGH
PLUGIN
wp-job-portal
WP Job Portal <= 2.4.8 - Unauthenticated SQL Injection via 'radius' Parameter
MEDIUM
PLUGIN
sfwd-lms
LearnDash LMS <= 5.0.3 - Authenticated (Contributor+) SQL Injection via 'filters[orderby_order]' Parameter
HIGH
PLUGIN
jet-engine
JetEngine <= 3.8.6.1 - Unauthenticated SQL Injection via Listing Grid 'filtered_query' Parameter
¿Tu WordPress podría estar expuesto?
Comprueba si tu web tiene esta vulnerabilidad
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
¿Necesitas ayuda de un experto?
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un experto