WP Job Portal <= 2.2.2 - Authenticated (Admin+) SQL Injection via wpjobportal_deactivate()

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin WP Job Portal hasta la versión 2.2.2, que podría ser explotada por usuarios autenticados con privilegios de administrador. Esta vulnerabilidad, catalogada como de severidad media, tiene un CVSS de 4.9.

Contexto técnico

La vulnerabilidad se origina en la función wpjobportal_deactivate(), que no valida adecuadamente las entradas del usuario, permitiendo así la ejecución de consultas SQL maliciosas. Esto expone la base de datos a manipulaciones no autorizadas.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante con privilegios de administrador acceder y modificar datos sensibles, lo que podría comprometer la integridad y confidencialidad de la información del negocio.

Vector de explotación

Generalmente, la explotación se realiza mediante el envío de solicitudes manipuladas a la función vulnerable, aprovechando la falta de validación de entradas para ejecutar comandos SQL no deseados.

Mitigación recomendada

Actualizar el plugin WP Job Portal a la versión 2.2.3 o superior para corregir la vulnerabilidad. Además, se recomienda revisar los registros de acceso y aplicar medidas de seguridad adicionales para proteger la base de datos.

Señales de detección

Señales de posible explotación incluyen solicitudes inusuales en el registro de acceso que intentan acceder a la función wpjobportal_deactivate() con parámetros manipulados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.2.3 del plugin WP Job Portal.