Icegram Express <= 5.7.22 - Authenticated (Subscriber+) SQL Injection Vulnerability via options[list_id]

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de inyección SQL en el plugin Icegram Express, que afecta a las versiones hasta la 5.7.22. Esta falla permite a usuarios autenticados con rol de suscriptor ejecutar consultas SQL maliciosas.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las entradas a través de la opción 'list_id'. Un atacante autenticado puede manipular esta entrada para ejecutar comandos SQL arbitrarios, comprometiendo así la base de datos del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a información sensible y potencialmente modificar o eliminar datos en la base de datos. Esto puede resultar en daños a la reputación del negocio y pérdida de confianza por parte de los usuarios.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad se realiza a través de un atacante que ya tiene acceso al panel de administración del sitio, utilizando su rol de suscriptor para enviar peticiones manipuladas que desencadenan la inyección SQL.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Icegram Express a la versión 5.7.23 o posterior. Además, se sugiere revisar los registros de acceso y las actividades de los usuarios para detectar comportamientos inusuales.

Señales de detección

Se deben monitorizar los registros de la base de datos en busca de consultas SQL inusuales o errores relacionados con la manipulación de la opción 'list_id'. También es recomendable implementar herramientas de seguridad que alerten sobre actividades sospechosas.

Alcance afectado

Las versiones del plugin Icegram Express hasta la 5.7.22 están afectadas por esta vulnerabilidad. Es crucial que los usuarios de estas versiones realicen la actualización a la versión corregida.