WBW Product Table PRO <= 2.2.6 - Unauthenticated SQL Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WBW Product Table PRO, que permite la inyección SQL no autenticada en versiones hasta la 2.2.6. Esta vulnerabilidad, catalogada con un CVSS de 7.5, puede comprometer la seguridad de las bases de datos de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las entradas del usuario, lo que permite a un atacante ejecutar consultas SQL maliciosas sin necesidad de autenticación. Esto expone la superficie de ataque a cualquier usuario que pueda interactuar con el plugin.

Impacto potencial

El impacto potencial de esta vulnerabilidad es significativo, ya que puede permitir a un atacante acceder a datos sensibles, modificar información en la base de datos o incluso tomar control del sitio. Esto puede resultar en pérdidas financieras y daños a la reputación de la empresa.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas a las funciones del plugin que manejan las consultas SQL, sin requerir credenciales de usuario.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 2.2.7 o superior. Además, se sugiere implementar medidas de seguridad adicionales como la validación de entradas y el uso de firewalls de aplicaciones web.

Señales de detección

Señales de riesgo incluyen registros de intentos de inyección SQL en los logs del servidor, así como comportamientos inusuales en las consultas a la base de datos.

Alcance afectado

Las versiones del plugin WBW Product Table PRO hasta la 2.2.6 están afectadas. Es crucial verificar las instalaciones para asegurar que no se esté utilizando una versión vulnerable.