WP ERP <= 1.12.9 - Authenticated (Accounting Manager+) SQL Injection via id

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin WP ERP, que afecta a las versiones hasta la 1.12.9. Esta vulnerabilidad, catalogada como de alta gravedad, permite a un atacante autenticado ejecutar consultas SQL maliciosas a través del parámetro 'id'.

Contexto técnico

El fallo se origina en la forma en que el plugin WP ERP maneja las entradas del usuario en el módulo de Accounting Manager+. La inyección SQL se produce cuando se utiliza un parámetro 'id' sin la debida validación, lo que permite a un atacante manipular las consultas a la base de datos.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad de la base de datos y permitir a un atacante acceder o modificar información sensible, lo que podría tener repercusiones graves en la operación del negocio y la confianza del cliente.

Vector de explotación

Generalmente, un atacante autenticado puede aprovechar esta vulnerabilidad enviando solicitudes HTTP manipuladas que incluyan un 'id' especialmente diseñado para ejecutar código SQL no autorizado.

Mitigación recomendada

Se recomienda actualizar el plugin WP ERP a la versión 1.13.0 o superior. Además, es aconsejable implementar medidas de seguridad adicionales, como la validación de entradas y el uso de consultas preparadas.

Señales de detección

Se pueden observar patrones inusuales en las consultas a la base de datos, así como registros de accesos no autorizados o intentos de manipulación de parámetros 'id'.

Alcance afectado

Las versiones del plugin WP ERP hasta la 1.12.9 están afectadas por esta vulnerabilidad. Se debe verificar la instalación y actualizar a la versión segura.