Email Subscribers by Icegram Express – Email Marketing, Newsletters, Automation for WordPress & WooCommerce <= 5.7.25 - Unauthenticated SQL Injection via unsubscribe

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin 'Email Subscribers by Icegram Express' que permite una inyección SQL no autenticada. Esta falla afecta a las versiones hasta la 5.7.25 y puede comprometer gravemente la seguridad del sitio.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las entradas del usuario en el proceso de cancelación de suscripción. Esto permite a un atacante ejecutar consultas SQL arbitrarias en la base de datos del sitio, lo que puede llevar a la exposición o modificación de datos sensibles.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la pérdida de datos, acceso no autorizado a información crítica y potencialmente la toma de control del sitio web. Esto puede afectar la reputación de la empresa y la confianza de los usuarios, así como implicar costes significativos en recuperación y mitigación.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas a la funcionalidad de cancelación de suscripción, lo que les permite ejecutar comandos SQL maliciosos sin necesidad de autenticación previa.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 5.7.26 o superior, donde se ha corregido esta vulnerabilidad. Además, es aconsejable realizar una auditoría de seguridad completa del sitio y aplicar medidas de hardening, como la limitación de acceso a la base de datos y la validación de entradas.

Señales de detección

Se deben monitorizar los registros de acceso y errores en busca de patrones inusuales en las solicitudes a la funcionalidad de cancelación de suscripción, así como cualquier actividad sospechosa en la base de datos.

Alcance afectado

Las versiones del plugin 'Email Subscribers by Icegram Express' hasta la 5.7.25 son vulnerables. Esto incluye todas las instalaciones que no han sido actualizadas desde la publicación de la vulnerabilidad el 1 de julio de 2024.