Coupon API <= 6.2.12 - Authenticated (Administrator+) SQL Injection via 'log_duration'

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Coupon API, que afecta a las versiones hasta la 6.2.12. Esta vulnerabilidad permite a administradores autenticados ejecutar consultas SQL maliciosas a través del parámetro 'log_duration'.

Contexto técnico

La vulnerabilidad se presenta como una inyección SQL, lo que permite manipular las consultas a la base de datos mediante la entrada de datos no controlados. La superficie de ataque se limita a usuarios con privilegios de administrador, lo que implica que el atacante debe estar autenticado en el sistema.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante con acceso administrativo ejecutar comandos SQL arbitrarios, lo que podría comprometer la integridad y confidencialidad de la base de datos, así como la disponibilidad del sistema.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante el envío de solicitudes HTTP manipuladas que incluyen un valor malicioso en el parámetro 'log_duration', permitiendo así la ejecución de consultas SQL no autorizadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Coupon API a la versión 6.2.12 o superior. Además, se sugiere revisar los registros de acceso y las configuraciones de permisos para asegurar que solo los usuarios autorizados tengan acceso a funcionalidades críticas.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de logs de acceso y errores en la base de datos que indiquen consultas inusuales o fallidas relacionadas con el parámetro 'log_duration'.

Alcance afectado

Las versiones del plugin Coupon API afectadas son todas las anteriores a la 6.2.12. Es crucial verificar la instalación actual para aplicar las actualizaciones necesarias.