Contact Form by Bit Form: Multi Step Form, Calculation Contact Form, Payment Contact Form & Custom Contact Form builder 2.0 - 2.13.9 - Authenticated (Administrator+) SQL Injection via getLogHistory Function

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin 'Contact Form by Bit Form', que afecta a las versiones desde la 2.0 hasta la 2.13.9. Esta vulnerabilidad permite a un administrador autenticado ejecutar consultas SQL maliciosas a través de la función getLogHistory.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona las entradas de datos en la función getLogHistory. Al no validar adecuadamente las entradas, un atacante con privilegios de administrador podría manipular las consultas SQL, lo que podría comprometer la base de datos del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder y manipular datos sensibles en la base de datos. Esto podría resultar en la exposición de información crítica o en la alteración de datos, afectando la integridad del sitio y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad requiere que un atacante tenga acceso como administrador. Una vez autenticado, puede enviar solicitudes manipuladas a la función vulnerable, lo que le permite ejecutar consultas SQL no autorizadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.13.10 o posterior. Además, se deben revisar los permisos de usuario y aplicar prácticas de seguridad adicionales como la validación de entradas y el uso de consultas preparadas.

Señales de detección

Señales de posible explotación incluyen registros de actividad inusuales por parte de usuarios administradores, así como errores de base de datos que sugieren intentos de inyección SQL.

Alcance afectado

Las versiones afectadas del plugin 'Contact Form by Bit Form' van desde la 2.0 hasta la 2.13.9. La vulnerabilidad ha sido corregida en la versión 2.13.10.