Resumen ejecutivo
Se ha identificado una vulnerabilidad crítica de inyección SQL en el plugin BWL Advanced FAQ Manager, afectando a versiones hasta la 2.0.3. Esta falla permite a administradores autenticados ejecutar consultas SQL maliciosas.
Fuente base de datos: Wordfence Intelligence
BWL Advanced FAQ Manager <= 2.0.3 - Authenticated (Administrator+) SQL Injection (inyeccion SQL) - version 2.0.4
PLUGIN
CRITICAL
CVE-2024-32136
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.
Contexto técnico
La vulnerabilidad se origina en la forma en que el plugin maneja las entradas de los usuarios, permitiendo la manipulación de consultas SQL a través de parámetros no sanitizados. Esto expone la base de datos a ataques de inyección SQL, que pueden comprometer la integridad y confidencialidad de los datos.
Impacto potencial
La explotación de esta vulnerabilidad puede resultar en la pérdida de datos, alteraciones en la base de datos y potencial acceso no autorizado a información sensible. Esto puede afectar gravemente la reputación de la organización y su cumplimiento normativo.
Vector de explotación
Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes manipuladas a través de la interfaz de administración del plugin, donde se requiere autenticación como administrador.
Mitigación recomendada
Se recomienda actualizar el plugin BWL Advanced FAQ Manager a la versión 2.0.4 o superior. Además, es aconsejable revisar y aplicar prácticas de codificación segura, así como implementar medidas de seguridad adicionales, como firewalls y sistemas de detección de intrusiones.
Señales de detección
Se deben monitorizar registros de acceso y errores del servidor en busca de patrones inusuales que indiquen intentos de explotación, como consultas SQL inesperadas o accesos no autorizados a la interfaz de administración.
Alcance afectado
Las versiones del plugin BWL Advanced FAQ Manager hasta la 2.0.3 están afectadas por esta vulnerabilidad, lo que incluye todas las instalaciones que no han sido actualizadas a la versión segura.
Vulnerabilidades relacionadas
MEDIUM
PLUGIN
contest-gallery
Contest Gallery <= 30.0.6 - Authenticated (Author+) Second-Order SQL Injection via MultipleFiles Second-Order Payload via 'cg_multiple_files_for_post' -> 'cgRealId'
MEDIUM
PLUGIN
form-maker
Form Maker by 10Web <= 1.15.44 - Authenticated (Subscriber+) SQL Injection via '{username}' Placeholder in Dynamic-Choice Field WHERE Clause
MEDIUM
PLUGIN
gdpr-compliant-recaptcha-for-all-forms
Invisible Anti-Spam & CAPTCHA <= 5.1 - Authenticated (Editor+) SQL Injection via 'key' Parameter
MEDIUM
PLUGIN
gdpr-compliant-recaptcha-for-all-forms
Invisible Anti-Spam & CAPTCHA <= 5.1 - Authenticated (Editor+) SQL Injection via Pattern JSON Keys/Values
MEDIUM
PLUGIN
groundhogg
Groundhogg <= 4.5.14 - Authenticated (Vendor+) SQL Injection via 'tag_query' Parameter
MEDIUM
PLUGIN
kivicare-clinic-management-system
KiviCare <= 4.5.1 - Authenticated (Doctor+) SQL Injection via 'searchTerm' Parameter
MEDIUM
PLUGIN
sitepress-multilingual-cms
WPML Multilingual CMS <= 4.9.5 - Authenticated (Translator+) SQL Injection via 'sorting' Parameter
MEDIUM
PLUGIN
image-uploader-for-welcart
Image Uploader for Welcart <= 1.4.6 - Authenticated (Author+) SQL Injection via Attachment 'post_title' Parameter
¿Tu WordPress podría estar expuesto?
Comprueba si tu web tiene esta vulnerabilidad
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
¿Necesitas ayuda de un experto?
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un experto