Tutor LMS Pro <= 3.9.6 - Unauthenticated SQL Injection en Tutor PRO (inyeccion SQL) - version 3.9.7

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Tutor LMS Pro, que permite la inyección SQL no autenticada en versiones hasta la 3.8.3. Esta falla podría ser explotada por atacantes para acceder a datos sensibles de la base de datos.

Contexto técnico

La vulnerabilidad se clasifica como inyección SQL (SQLi) y afecta a la forma en que el plugin maneja las consultas a la base de datos sin la debida validación de entrada. Esto permite a un atacante enviar consultas maliciosas que pueden ser ejecutadas en la base de datos del sitio web.

Impacto potencial

El impacto de esta vulnerabilidad es considerable, ya que permite el acceso no autorizado a datos críticos, lo que podría comprometer la integridad y confidencialidad de la información del negocio, así como dañar la reputación del mismo.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas a las interfaces del plugin que no requieren autenticación, lo que facilita el acceso a la base de datos sin necesidad de credenciales.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Tutor LMS Pro a la versión 3.8.3 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de entradas y el uso de firewalls de aplicaciones web.

Señales de detección

Se deben monitorizar los registros de acceso y las consultas a la base de datos en busca de patrones inusuales que puedan indicar intentos de explotación, así como alertas de tráfico anómalo hacia el plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.8.3 del plugin Tutor LMS Pro.