Business Directory Plugin – Easy Listing Directories for WordPress <= 6.4.2 - Unauthenticated SQL Injection via listingfields Parameter

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Business Directory Plugin para WordPress, que permite la inyección SQL no autenticada a través del parámetro 'listingfields'. Esta falla afecta a las versiones hasta la 6.4.2 y tiene un CVSS de 9.8.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las entradas del usuario en el parámetro 'listingfields', lo que permite a un atacante ejecutar consultas SQL maliciosas en la base de datos sin necesidad de autenticación. Esto expone la superficie de ataque a cualquier usuario que pueda enviar peticiones a la aplicación.

Impacto potencial

El potencial impacto incluye la exposición de datos sensibles, manipulación de la base de datos y, en casos extremos, la posibilidad de comprometer completamente el sitio web. Esto podría resultar en pérdida de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas que incluyen código SQL malicioso en el parámetro 'listingfields', lo que les permite acceder a información no autorizada.

Mitigación recomendada

Se recomienda actualizar el plugin Business Directory Plugin a la versión 6.4.3 o superior. Además, se sugiere implementar medidas de seguridad adicionales como la validación y sanitización de entradas, así como el uso de un firewall de aplicaciones web.

Señales de detección

Señales de posible explotación incluyen registros de errores inusuales en la base de datos, intentos de acceso a URLs que contengan el parámetro 'listingfields' y actividad sospechosa en los logs del servidor.

Alcance afectado

Las versiones del plugin Business Directory Plugin hasta la 6.4.2 son vulnerables. La versión 6.4.3 ha sido publicada para corregir esta falla.