WP Job Portal <= 2.2.2 - Authenticated (Admin+) SQL Injection via getFieldsForVisibleCombobox()

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin WP Job Portal, que afecta a las versiones hasta la 2.2.2. Este fallo puede ser explotado por usuarios autenticados con privilegios de administrador.

Contexto técnico

La vulnerabilidad se origina en la función getFieldsForVisibleCombobox(), que no valida adecuadamente las entradas del usuario. Esto permite a un atacante inyectar consultas SQL maliciosas, comprometiendo la base de datos del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder y manipular datos sensibles en la base de datos, lo que podría resultar en la pérdida de datos, la alteración de información y un daño reputacional para el negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante el envío de solicitudes manipuladas a la función afectada, aprovechando los privilegios de un usuario autenticado con acceso administrativo.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar inmediatamente el plugin WP Job Portal a la versión 2.2.3 o superior. Además, implementar medidas de seguridad adicionales, como la revisión de permisos de usuario y el uso de firewalls de aplicaciones web.

Señales de detección

Las señales de posible explotación incluyen registros de actividad inusuales en la base de datos, intentos de acceso no autorizados y errores relacionados con consultas SQL en los registros del servidor.

Alcance afectado

Las versiones del plugin WP Job Portal hasta la 2.2.2 están afectadas, por lo que todas las instalaciones que utilicen estas versiones son vulnerables.