Stripe Payment Forms <= 8.3.1 - Unauthenticated SQL Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL no autenticada en el plugin WP Full Stripe Free, que afecta a las versiones hasta la 8.3.1. Esta vulnerabilidad tiene una severidad alta, con un CVSS de 7.5.

Contexto técnico

La vulnerabilidad permite a un atacante ejecutar consultas SQL arbitrarias en la base de datos del sitio web, lo que puede comprometer la integridad y confidencialidad de los datos. La superficie de ataque se centra en las funcionalidades del plugin que manejan formularios de pago sin requerir autenticación previa.

Impacto potencial

El impacto potencial incluye la exposición de datos sensibles de usuarios y transacciones, así como la posibilidad de manipulación de la base de datos. Esto podría resultar en pérdidas económicas y daños a la reputación de la empresa.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad mediante el envío de solicitudes maliciosas a las funciones del plugin que no requieren autenticación, permitiendo así la ejecución de comandos SQL no autorizados.

Mitigación recomendada

Actualizar el plugin WP Full Stripe Free a la versión 8.3.2 o superior para mitigar la vulnerabilidad. Además, se recomienda realizar un análisis de seguridad completo y aplicar prácticas de hardening en la base de datos.

Señales de detección

Señales de riesgo incluyen registros de errores de SQL en los logs del servidor, así como tráfico inusual en las solicitudes hacia las funciones del plugin que gestionan formularios de pago.

Alcance afectado

Las versiones del plugin WP Full Stripe Free hasta la 8.3.1 están afectadas. Se recomienda verificar la instalación y actualizar a la versión corregida.