REST API TO MiniProgram <= 4.7.1 - Unauthenticated SQL Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de inyección SQL en el plugin REST API TO MiniProgram, afectando a versiones hasta la 4.7.1. Esta falla permite a un atacante no autenticado ejecutar consultas SQL maliciosas en la base de datos del sitio.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las entradas en el plugin, lo que permite que un atacante envíe peticiones manipuladas a la API REST, resultando en la ejecución de comandos SQL no autorizados. La superficie de ataque se centra en las interacciones con la API del plugin.

Impacto potencial

El impacto potencial incluye la exposición de datos sensibles, alteración de la base de datos y posibles compromisos del sistema completo. Esto puede resultar en pérdidas de datos, daño a la reputación y costes asociados a la recuperación y mitigación.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes HTTP específicamente diseñadas que contienen código SQL malicioso, permitiendo la ejecución de consultas en la base de datos sin necesidad de autenticación.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 5.1 o superior. Además, se sugiere implementar medidas de seguridad adicionales como firewalls de aplicaciones web y validación de entradas.

Señales de detección

Las señales de riesgo incluyen registros de actividad inusual en la base de datos, intentos de acceso a la API REST sin autenticación y patrones de tráfico sospechosos que intentan explotar la vulnerabilidad.

Alcance afectado

Las versiones del plugin REST API TO MiniProgram hasta la 4.7.1 son vulnerables. Se debe verificar la instalación y actualizar a la versión corregida.