WooCommerce Orders & Customers Exporter <= 5.4 - Authenticated (Subscriber+) SQL Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin WooCommerce Orders & Customers Exporter, que afecta a las versiones hasta la 5.4. Este fallo permite a usuarios autenticados con rol de suscriptor o superior ejecutar consultas SQL maliciosas.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las entradas de los usuarios, permitiendo la inyección de código SQL a través de parámetros no sanitizados. Esto expone la base de datos a consultas no autorizadas, lo que puede comprometer la integridad de los datos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a información sensible almacenada en la base de datos, potencialmente exponiendo datos de clientes y pedidos. Esto podría resultar en daños a la reputación de la empresa y posibles sanciones legales.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la manipulación de solicitudes HTTP autenticadas, inyectando código SQL en los parámetros del plugin para ejecutar consultas que extraen o modifican datos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 5.4 o superior. Además, se debe realizar una revisión de las configuraciones de seguridad y aplicar medidas de hardening en la base de datos y en la gestión de usuarios.

Señales de detección

Señales de posible explotación incluyen registros de actividad inusual en las consultas SQL, intentos de acceso no autorizados a datos sensibles y alertas de seguridad generadas por herramientas de monitoreo.

Alcance afectado

Las versiones del plugin WooCommerce Orders & Customers Exporter hasta la 5.4 son las afectadas. Se recomienda a todos los usuarios de este plugin verificar su versión y aplicar la actualización correspondiente.