WP ERP <= 1.13.0 - Authenticated (AccountingManager+) SQL Injection (inyeccion SQL) - version 1.13.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin WP ERP, que afecta a las versiones hasta la 1.13.0. Esta vulnerabilidad puede ser explotada por usuarios autenticados con privilegios en el módulo AccountingManager+.

Contexto técnico

El fallo se origina en la falta de validación y sanitización adecuada de las entradas en el módulo AccountingManager+ del plugin WP ERP. Esto permite a un atacante autenticado ejecutar consultas SQL maliciosas, afectando la integridad de la base de datos.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante acceder, modificar o eliminar datos sensibles en la base de datos del sitio, comprometiendo la seguridad y la confianza del negocio. También puede llevar a la pérdida de datos y a la interrupción de servicios.

Vector de explotación

Generalmente, la vulnerabilidad se explota mediante la inserción de comandos SQL a través de formularios o parámetros en la interfaz de usuario del plugin, aprovechando la falta de protección en las entradas.

Mitigación recomendada

Se recomienda actualizar el plugin WP ERP a la versión 1.13.1 o superior para mitigar la vulnerabilidad. Además, es aconsejable revisar los registros de acceso y las actividades sospechosas en el sistema.

Señales de detección

Señales de posible explotación incluyen consultas SQL inusuales en los registros del servidor y comportamientos anómalos en la base de datos, así como reportes de usuarios sobre accesos no autorizados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin WP ERP hasta la 1.13.0. Es crucial que los usuarios de este plugin verifiquen su versión y realicen la actualización correspondiente.