Bricks Builder <= 1.12.4 - Unauthenticated SQL Injection via `p` Parameter

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en Bricks Builder, que afecta a las versiones hasta la 1.12.4. Esta falla permite a un atacante no autenticado ejecutar consultas SQL maliciosas, lo que representa un riesgo significativo para la seguridad de las instalaciones afectadas.

Contexto técnico

El fallo se produce a través del parámetro `p`, que no valida adecuadamente la entrada del usuario, permitiendo así la inyección de código SQL. Esto expone la base de datos a manipulaciones no autorizadas, lo que puede comprometer la integridad de los datos y la seguridad general del sitio.

Impacto potencial

El impacto potencial incluye el acceso no autorizado a datos sensibles, la posibilidad de modificar o eliminar información crítica y, en última instancia, la pérdida de confianza por parte de los usuarios. Esto podría traducirse en daños económicos y reputacionales para las organizaciones afectadas.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes HTTP diseñadas que manipulan el parámetro `p` para ejecutar instrucciones SQL arbitrarias. Esto se puede hacer sin necesidad de autenticación previa, lo que aumenta la facilidad de explotación.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar Bricks Builder a la versión 2.0 o superior. Además, se debe implementar una validación rigurosa de las entradas y considerar el uso de medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF).

Señales de detección

Señales de posible explotación incluyen registros de errores inusuales en la base de datos, consultas SQL inesperadas en los registros del servidor y un aumento en el tráfico hacia URLs que contienen el parámetro `p`.

Alcance afectado

Las versiones de Bricks Builder hasta la 1.12.4 son vulnerables. Se recomienda a los administradores de sitios que verifiquen sus instalaciones y apliquen las actualizaciones necesarias.