WooCommerce Multilingual & Multicurrency with WPML <= 5.3.3.1 - Authenticated (Shop Manager+) SQL Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de inyección SQL en el plugin WooCommerce Multilingual & Multicurrency con WPML, afectando a versiones hasta la 5.3.3.1. Esta falla permite a usuarios autenticados con permisos de Shop Manager o superiores ejecutar consultas SQL maliciosas.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las entradas de datos, lo que permite a un atacante inyectar código SQL a través de peticiones autenticadas. Esto puede comprometer la base de datos de la aplicación, exponiendo datos sensibles o permitiendo la ejecución de comandos no autorizados.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en la pérdida de datos, alteración de la base de datos y acceso no autorizado a información crítica, lo que podría afectar gravemente la reputación y la operativa del negocio.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante la manipulación de parámetros en las solicitudes HTTP enviadas por un usuario autenticado, lo que permite al atacante ejecutar consultas SQL arbitrarias.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WooCommerce Multilingual & Multicurrency a la versión 5.3.4 o superior. Además, se sugiere revisar los permisos de los usuarios y aplicar prácticas de seguridad como la validación de entradas y la restricción de acceso a funciones críticas.

Señales de detección

Señales de posible explotación incluyen registros de actividad inusual en la base de datos, intentos de acceso no autorizados o cambios inesperados en los datos de la tienda.

Alcance afectado

Las versiones del plugin WooCommerce Multilingual & Multicurrency con WPML hasta la 5.3.3.1 son vulnerables. Se debe verificar la versión instalada en todos los sitios que utilicen este plugin.