3DPrint Lite <=2.1.3.6 - Authenticated (Admin+) SQL Injection via 'printer_text'

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin 3DPrint Lite, que afecta a las versiones hasta la 2.1.3.6. Este fallo puede ser explotado por administradores autenticados, lo que eleva su nivel de riesgo.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona la entrada del usuario a través del parámetro 'printer_text'. Un atacante con privilegios de administrador puede manipular este parámetro para ejecutar consultas SQL no autorizadas, comprometiendo así la base de datos del sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante acceder a información sensible almacenada en la base de datos, alterar datos o incluso comprometer la integridad del sitio. Esto puede tener repercusiones significativas en la confianza de los usuarios y en la reputación del negocio.

Vector de explotación

Generalmente, el ataque se lleva a cabo mediante la modificación del parámetro 'printer_text' en una solicitud HTTP, aprovechando que el atacante ya tiene acceso como administrador.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 3DPrint Lite a la versión 2.1.3.7 o posterior. Además, es aconsejable revisar los registros de actividad del plugin para detectar accesos inusuales y aplicar medidas de endurecimiento en la configuración de WordPress.

Señales de detección

Señales de un posible intento de explotación incluyen registros de acceso inusuales que contengan modificaciones al parámetro 'printer_text' y errores de SQL en los registros del servidor.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin 3DPrint Lite hasta la 2.1.3.6. La vulnerabilidad fue publicada el 7 de abril de 2025.