MapSVG < 8.7.4 - Unauthenticated SQL Injection

Resumen ejecutivo

La vulnerabilidad de inyección SQL no autenticada en el plugin MapSVG, presente en versiones anteriores a la 8.7.4, permite a un atacante ejecutar consultas SQL maliciosas. Esta falla tiene una severidad alta con un CVSS de 7.5.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin procesa las entradas del usuario sin la debida validación, lo que permite a un atacante manipular las consultas SQL. La superficie de ataque incluye cualquier página del plugin que interactúe con la base de datos sin autenticación.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la exposición de datos sensibles, manipulación de la base de datos y potencial acceso no autorizado a la información del sitio, lo que puede afectar gravemente la reputación y la integridad del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas a las páginas del plugin que no requieren autenticación, lo que les permite ejecutar comandos SQL arbitrarios.

Mitigación recomendada

Actualizar el plugin MapSVG a la versión 8.7.4 o superior. Además, se recomienda implementar medidas de seguridad adicionales como firewalls de aplicaciones web y validación de entradas.

Señales de detección

Señales de riesgo incluyen registros de solicitudes inusuales que contienen sintaxis SQL, errores en la base de datos y actividad sospechosa en el acceso a la base de datos.

Alcance afectado

Las versiones del plugin MapSVG anteriores a la 8.7.4 están afectadas. No se especifica el número exacto de instalaciones comprometidas.