wpDataTables - Tables & Table Charts (Premium) <= 6.3.1 - Unauthenticated SQL Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de inyección SQL en el plugin wpDataTables para WordPress, que afecta a las versiones hasta la 6.3.1. Esta falla permite a los atacantes no autenticados ejecutar consultas SQL maliciosas en la base de datos del sitio.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin wpDataTables maneja las entradas de usuario, lo que permite que datos no validados sean utilizados en consultas SQL. Esto expone la superficie de ataque a usuarios no autenticados, facilitando la manipulación de la base de datos.

Impacto potencial

El impacto potencial de esta vulnerabilidad es severo, ya que puede permitir a un atacante acceder a información sensible, modificar datos o incluso comprometer completamente el sitio. Esto podría resultar en pérdidas económicas y de reputación para las organizaciones afectadas.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas que incluyen código SQL malicioso, lo que les permite ejecutar comandos en la base de datos sin necesidad de autenticación previa.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin wpDataTables a la versión 6.3.2 o superior. Además, se sugiere realizar una revisión de las configuraciones de seguridad del sitio y aplicar medidas de hardening para proteger la base de datos.

Señales de detección

Señales de riesgo incluyen registros de errores en la base de datos, actividad inusual en las consultas SQL y cambios inesperados en los datos. Monitorizar estas señales puede ayudar a detectar intentos de explotación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 6.3.2 del plugin wpDataTables. Es crucial verificar las instalaciones para asegurar que se esté utilizando una versión segura.