Fuente base de datos: Wordfence Intelligence

WP Activity Log Premium <= 4.6.4 - Authenticated (Subscriber+) SQL Injection en WP Security Audit LOG Premium (inyeccion SQL) - version 4.6.4.1

PLUGIN HIGH CVE-2024-2018

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin WP Activity Log Premium, que afecta a las versiones anteriores a la 4.6.4. Esta falla permite a usuarios autenticados con rol de suscriptor o superior ejecutar consultas SQL maliciosas.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona las entradas de los usuarios, permitiendo la inyección de código SQL a través de parámetros no debidamente sanitizados. Esto expone la base de datos a manipulaciones no autorizadas, afectando la integridad de los datos.

Impacto potencial

El impacto potencial de esta vulnerabilidad es alto, ya que podría permitir a un atacante autenticado acceder a información sensible, modificar datos o incluso comprometer la instalación completa de WordPress. Esto puede resultar en pérdidas económicas y de reputación para las organizaciones afectadas.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad se realiza mediante la manipulación de solicitudes HTTP que contienen parámetros SQL maliciosos, permitiendo a un atacante ejecutar comandos en la base de datos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WP Activity Log Premium a la versión 4.6.4.1 o superior. Además, es aconsejable revisar las configuraciones de seguridad y aplicar medidas de hardening en la base de datos.

Señales de detección

Se pueden detectar intentos de explotación mediante registros de actividad inusuales en el plugin, así como mediante alertas de seguridad que indiquen accesos no autorizados o modificaciones en la base de datos.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin WP Activity Log Premium anteriores a la 4.6.4, lo que incluye versiones desde su lanzamiento hasta la mencionada.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

form-maker

Form Maker by 10Web <= 1.15.40 - Authenticated (Administrator+) SQL Injection via 'ip_search' Parameter

MEDIUM PLUGIN

tutor

Tutor LMS <= 3.9.8 - Authenticated (Admin+) SQL Injection via 'date' Parameter

MEDIUM PLUGIN

masterstudy-lms-learning-management-system

MasterStudy LMS <= 3.7.25 - Authenticated (Subscriber+) Time-based Blind SQL Injection via 'order' and 'orderby' Parameters

HIGH PLUGIN

riaxe-product-customizer

Riaxe Product Customizer <= 2.1.2 - Unauthenticated SQL Injection via 'options' Parameter Keys in product_data

MEDIUM PLUGIN

online-accessibility

Accessibility Suite by Ability, Inc <= 4.20 - Authenticated (Subscriber+) SQL Injection via 'scan_id' Parameter

HIGH PLUGIN

directorypress

DirectoryPress – Business Directory And Classified Ad Listing <= 3.6.26 - Unauthenticated SQL Injection via 'packages'

HIGH PLUGIN

jet-engine

JetEngine <= 3.8.6.1 - Unauthenticated SQL Injection via '_cct_search' Parameter

MEDIUM PLUGIN

lifterlms

LifterLMS <= 9.2.1 - Authenticated (Custom+) SQL Injection via 'order' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto